云相册的隐私与成本账

云相册替我们保管了什么

翻开任何一部手机的相册，你会发现它早已不是一个简单的文件夹：里面有孩子的满月照、父母的旅行合影、家里的门锁密码照片、体检报告的扫描件、偶尔手滑拍下的桌面和屏幕。云相册替我们保管的不只是回忆，还有大量比回忆更敏感的信息。

云相册的便利是真实的。手机拍完照片，几秒钟后就能在电脑上打开；换了新手机，登录账号所有照片都回来了；搜索一个地名，三年前出差的照片立刻出现。这些体验实在太顺手，以至于我们很少去想另一面：照片传上去之后，服务器那边到底发生了什么。

其实答案并不神秘。主流云相册服务在条款里大多写明了，上传的内容会用于改善服务，包括模型训练。人脸识别、地点聚类、智能搜索，这些功能本身需要大量真实照片来打磨。条款里的那行字通常很长，多数人不会逐字读完，但它的含义很直接：你的照片参与了平台的算法建设，而这件事不会单独通知你，也不会给你分成。

还有一个常被忽略的细节：照片传到云端之后，它就不再只存在于你的生活里了。平台可能用它做内容审核，可能在服务故障时临时丢失，也可能在政策调整后改变可见性。你仍然是照片里的人，但你已经不是照片存放地点的决策者。

这套便利还有另一层成本：你的手机相册体验和这个平台深度绑定，通知、整理、分享都按它的规则来。规则改了你只能跟着改。对很多人来说，真正的转折点是一次涨价、一次容量政策调整，或者某天突然发现搜索某个地名时结果对不上了——这时候他们会想起，自己好像从来没有真正拥有过这些照片。

隐私账：照片比你想的更敏感

照片的敏感度是分层的。一张风景照似乎无所谓，但相册作为一个整体，几乎可以还原一个人的完整生活轨迹。

• 人脸数据：云相册的人脸聚类功能，本质上是在服务器上构建了你的人际关系图。谁和谁常在一起出现、几点几分出现在哪里，平台比你自己更清楚。
• 位置信息：即使不主动分享，照片本身的 EXIF 信息里就带着精确的经纬度。几万张带定位的照片拼起来，就是一份完整的常驻地点清单：住址、公司、孩子学校、父母家。
• 内容线索：证件照、票据、聊天记录截图、屏幕截图，这些占相册相当比例的内容，本身就具备金融和身份价值。

有人会说，我又不是公众人物，别人对我的生活没兴趣。这个想法把问题想小了——风险不来自某个具体的人盯上你，而来自数据泄露、账号被盗、平台策略变更这类不可控事件。历史上大型云服务的数据事故并不罕见，而一旦照片这类数据流出，没有任何补救措施可以把它收回来。区别在于：账号泄露可以改密码，照片泄露改不了。

自建相册的核心逻辑不是相信 NAS 厂商比云厂商更可靠，而是把数据的控制权拿回自己手里。照片放在自己买的硬盘上，机器在自己家里，网络入口由自己把控——电子围栏的钥匙不再挂在别人腰间。即便某天你不满意这个软件了，照片文件本身仍然躺在原处，换个软件继续用，这就是数据自主的含义。关于自己搭 NAS 的硬件选型，可以参考《自建 NAS 完全指南》，这本书的部署章节也会以可直接照做的方式展开。

成本账：订阅费 vs 一次性硬件

隐私之外，钱是另一笔要算的账。云相册的收费模式几乎都走向了订阅制，而且随着照片越来越多，订阅费只会上台阶。

举个实际的例子。一个三口之家，每年新增照片和视频约 200GB，加上孩子的成长记录不愿删，五年后图库轻松超过 1TB。主流云相册的 2TB 档位目前每年大约需要几百元的订阅费，而且这是持续性支出：第十年交的钱不会比第一年少，中间涨价或换档位也得照单全收。

自建方案则是一次性硬件投入加上少量电费。一台带硬盘的 NAS 或小主机，总投入约两三千元，可以连续用五年以上，期间还可以扩盘、换机器而数据不动。把十年的总账放在一起算，差距相当明显。如果这台机器同时承担软路由、影音库等其他工作，相册这部分的边际成本就更低了。

可以看到，成本对比的本质是金钱换时间还是时间换金钱。自建确实要花精力，但这个精力的门槛正在被开源工具不断压低——容器化部署几条命令的事，并不比配一台新手机更难。

值得注意的是，账不能只算钱。订阅费买的不仅是存储，还有平台替你扛下的运维责任：硬盘坏了有人换，网络瘫了有人修，照片被误删有客服工单可以走。选择自建意味着这些责任一起接管，这也是为什么我们反复强调备份习惯。但从另一个角度说，平台扛责任的方式并不总让你满意——数据丢了你拿不到任何承诺，条款里早就写清楚了，而且存到云端的东西，某种意义上你已经丧失了真正删除它的能力。

免费额度为什么不够用

很多云相册提供免费档位，但免费档位的限制恰好卡在体验的痛处上。常见的做法是：免费容量给得不多，一旦超出就停止上传，或者把原画质压缩成低画质再备份。对照片多的人来说，免费档位更像是试用，而不是可以长期停靠的地方。压缩是单程票——原图变小之后就找不回来了，而你还以为它还在。

更隐蔽的问题是退出成本。照片上传时是免费的、自动的、无感的，想离开时却是昂贵的：几十个 GB 甚至上 TB 的数据要下载回来，下载速度受限，导出格式可能还带着平台特有的结构，整理一遍又是大工程。免费额度本质上是在降低进入门槛、抬高离开成本，时间越久，搬家的阻力越大。

这也是为什么自建相册的决定适合早做。在图库还只有几十个 GB 的时候迁移，一个晚上就能搞定；等积累到几 TB 再动这个念头，光是下载就要排好几天的队，更别提中途网络波动、压缩画质带来的损失。

什么人适合自建

自建相册不适合所有人，清醒的自我评估比盲目动手更重要。下面这张表可以作为判断的参考。

如果你的画像落在左边这一列，那么这本书就是为你写的：你已经有一台 NAS 或者准备装一台，只是缺一个顺手的相册软件。如果你的情况介于两者之间，也可以先从混合方案开始——新照片在家用 Immich，同时云相册保留一年作为过渡，等信心建立之后再决定是不是全量迁移。混合期间的每一分钱都不算白花，它买的是数据安全的心理冗余。

自建之后风险并没有消失

把照片搬回家不代表万事大吉，诚实地讲，自建只是把风险从平台换成了自己。硬盘会坏，所以要做冗余或者冷备份；家里可能断电断网，所以重要照片要有第二份存放地点；系统可能出问题，所以升级前要备份、操作前看文档。这些责任以前由云厂商用你的订阅费承担，现在要你自己承担——区别在于，自建的风险是可见的、可控的，而云平台的风险对你完全不透明。

一个折中且稳妥的做法是混合存放：最不想丢的照片——孩子的成长记录、家人的合影——在自建 NAS 之外再存一份移动硬盘或者网盘里；日常照片全部交给自建相册。成本几乎不增加，但底裤数据多了一层保险。异地备份的具体做法在全书最后一章会展开成可照做的清单。

小结

这一章算了两笔账。隐私账上，照片是人脸、位置、生活轨迹的集合体，交给平台意味着把这些信息的管理权让渡出去，而数据一旦流出就不可挽回；成本账上，订阅制是持续支出而自建是一次性投入，时间越长差距越明显。如果这两笔账算下来你决定自建，下一章就来看看 Immich 这个开源方案到底提供了什么，它凭什么成为 Google Photos 的替代者。

延伸阅读

• 《自建 NAS 完全指南》：没装过 NAS 的读者，可以先从硬件选型开始。
• 《群晖 DSM 实用指南》：已有群晖的读者，可以了解套件生态的整体情况。
• 下一章《Immich 是什么：开源相册方案》，进入具体的软件选型。