本地优先与数据主权：你的笔记到底存在哪

「数据主权」听起来像个大词，但落到笔记软件上，它回答的是一个具体问题：五年后，当你不再为这款软件付费、甚至这家公司不存在时，你的笔记还在不在、能不能完整打开？本章把 Obsidian 的数据存储机制彻底讲透，帮你判断它是否满足你对「数据安全」的要求。

第一层：vault 就是文件夹

Obsidian 的所有笔记内容都保存在你指定的本地文件夹里，即 vault。笔记是 .md 纯文本文件，附件是原始格式的图片、音频、PDF 等文件，双链和标签都写在 Markdown 文本内部。这意味着：

• 不依赖任何服务器，断网也能完整使用全部编辑功能。
• 任何能读文本文件的软件都能打开你的笔记——记事本、VS Code、任何 Markdown 编辑器。
• 文件系统层面的一切手段都适用：复制即备份、Git 即版本管理、加密盘即保密。

官方在隐私说明中的态度很明确：数据完全属于用户，Obsidian 不收集你的笔记内容，也没有使用指标采集。

第二层：.obsidian 配置文件夹

每个 vault 根目录下有一个 .obsidian 文件夹，存放这个仓库的专属配置：启用的插件、主题、CSS 代码片段、快捷键、工作区布局等。理解它有两个实际意义：

1. 换电脑迁移：把整个 vault 文件夹（含 .obsidian）复制过去，配置原样带走；如果只想迁移内容不带配置，则复制时排除这个文件夹。
2. Git 管理：.obsidian/workspace.json 和 .obsidian/workspaces.json 记录当前窗口布局，每次打开文件都会变。用 Git 管理仓库的人通常会把它们加进 .gitignore，避免无意义的提交噪音。

MyVault/
├── .obsidian/          # 配置文件夹（隐藏）
│   ├── app.json        # 应用设置
│   ├── workspace.json  # 当前窗口布局（建议 gitignore）
│   ├── plugins/        # 已安装的社区插件
│   └── snippets/       # CSS 代码片段
├── 读书笔记/
│   └── 费曼学习法.md
└── 附件/
    └── 架构图.png

注意：全局设置（如账号信息、已注册设备）不存在 vault 里，而在系统目录——macOS 是 ~/Library/Application Support/obsidian，Windows 是 %APPDATA%\Obsidian。官方特别警告不要把 vault 建在这个系统目录里，可能导致数据损坏。另外，Obsidian 会在本地维护一份元数据缓存（metadata cache，存储于 IndexedDB），用于加速搜索和图谱渲染；它只是缓存，损坏或清空后可从文件重建，不影响你的笔记本体。

第三层：快照与备份的边界

File recovery（文件恢复）核心插件会定期给 .md 和 .canvas 文件拍完整快照，默认最短间隔 5 分钟、保留 7 天，可在设置中调整。误删或误改后，通过 设置 → Core plugins → File recovery → View 找回历史版本。

但必须认清它的三个边界：

• 快照保存在本机的全局设置目录，按绝对路径关联笔记，换设备不同步、挪动仓库位置后可能失效。
• 只覆盖 .md 和 .canvas 两类文件，PDF、图片等附件不在保护范围内。
• 官方明确说它「不是完整的备份方案」。

所以完整的数据安全公式应该是：同步 ≠ 备份，快照 ≠ 备份。同步服务让多设备保持一致，但「一致地误删」也是同步；快照能救最近的失误，救不了硬盘损坏。真正可靠的组合是：同步（多设备可用）+ 定期单向备份（Time Machine、外置硬盘、云备份等）+ 文件恢复快照（应急兜底）。备份策略的细节在第五章同步篇展开。

同步与发布服务的数据走向

如果你使用官方增值服务，数据走向是这样的：

• Obsidian Sync：本地 vault 与官方服务器上的「远程仓库」保持同步。创建远程仓库时可选择端到端加密（默认，连官方也无法读取，采用 AES-256 加密标准，密钥由你的密码派生）或标准加密。选端到端加密务必记住密码——忘记密码则数据永久无法解密。
• Obsidian Publish：把你勾选的笔记发布为网站，托管在官方服务器。只有你主动发布的笔记会上传，仓库其余部分始终在本地。

两款服务都支持教育与非营利组织折扣，本体的免费属性不受影响。换句话说，付费买的是「便捷」，不是「解锁自己数据的权利」。

数据主权自查清单

对隐私敏感的用户，还可以利用「配置文件夹可自定义」的特性：在设置 → Files and links 里把配置文件夹改名为 .obsidian-work 之类的名称，同一仓库在不同设备用不同配置——比如公司电脑不装个人插件。这一招在多人共用设备时尤其有用。

本地优先不等于拒绝云端，而是让云端为你打工：你的数据基底始终在自己手里，任何服务都只是可替换的搬运工。想清楚这一点，第五章选择同步方案时的判断标准也就清晰了。

建立你自己的威胁模型

数据安全没有统一答案，取决于你担心什么。「威胁模型」是安全领域的标准思考框架——列出你的资产、对手和风险场景，再针对性设防。笔记用户的典型场景有三类：

场景一：设备丢失或损坏。 对手是硬件故障和遗忘。防线是备份（外置盘 + 云备份双线）加文件恢复快照，与 Obsidian 本身无关，与你的备份纪律有关。

场景二：服务方窥探。 担心笔记被云端服务商读取。Obsidian 本体方案下不存在这个问题（没有云）；用官方 Sync 时选端到端加密即可封死这条路——官方自己也解不了密。

场景三：第三方插件作恶。 插件能读文件、能联网。防线是插件安全章的自查清单：少装、慢装、看评分卡，敏感仓库可以长期保持受限模式。

明确场景后你会发现，多数人对「场景二」的焦虑远大于实际风险，却完全没做「场景一」的备份——这是典型的防御错位。把精力按真实风险排序，是数据主权的第一课。

多设备场景的数据策略

多设备使用时，本地优先原则需要一点补充设计。首先是主从关系：指定一台设备为「主设备」（通常是最常用的桌面端），所有结构性变更（建文件夹、改模板、调插件）都在主设备做，其他设备只消费。这能避免两台设备各自演化出不同配置的漂移问题。

其次是配置同步的选择：官方 Sync 可以勾选同步配置文件夹，让插件和设置跟人走；第三方同步方案则建议不同设备用不同配置——利用自定义配置文件夹机制（设置 → Files and links → Override config folder），比如家里设备用 .obsidian-home，公司设备用 .obsidian-work，各自装各自的插件，笔记数据照常同步。这是官方文档明确支持的玩法，团队与私人环境共存的用户的常用方案。

最后是离线心态：本地优先意味着任何时刻断网，你依然拥有全部数据和全部编辑能力。把这条当作选型时的检验标准——任何要求「必须联网才能看到自己笔记」的方案，都违背了数据主权的基本盘。

与其他隐私习惯的衔接

笔记安全不是孤岛，它嵌入在你的整体数字习惯里。三个衔接点：密码层面，官方 Sync 的端到端加密密码、Obsidian 账号密码都应进密码管理器；设备层面，全盘加密（Windows 的 BitLocker、macOS 的 FileVault）能保证设备丢失时硬盘数据不可读，这是比任何笔记软件设置都更底层的保护；分享层面，截图、导出 PDF、Publish 发布是三个最容易泄露的出口，每个出口都值得在动手前花十秒检查内容范围。

数据主权的终极状态是一种心态：你随时能回答「我的笔记在哪、谁能看到、丢了怎么办」这三个问题，而不用依赖任何厂商的客户服务。做到这一步，工具选择上的从容感会完全不同。

动手检查：十分钟数据安全自检

本章观点落到行动，就是一次可以立刻执行的自检。逐项完成，每项不超过一分钟：第一项，打开你的 vault 所在文件夹，确认 .md 文件可以用记事本打开（验证「纯文本」这个根基）；第二项，设置 → Core plugins → File recovery，确认开关为开、快照间隔与保留期符合预期；第三项，回答三个问题并写在任意笔记里——我的仓库路径在哪、我的备份是什么、我上次验证备份恢复是什么时候；第四项，如果用官方 Sync，进 设置 → Sync 查看加密类型，端到端加密的把密码在密码管理器里补一条记录；第五项，检查操作系统层面的全盘加密是否开启（Windows 的设备加密、macOS 的 FileVault）；第六项，数一数常驻社区插件数量，超过十五个就安排一次断舍离。

十分钟后，你手里会有一篇写着真实答案的安全笔记和若干待办——哪个备份缺失、哪个密码没存、哪个设置要改。数据安全从「知道很多道理」到「做完六件小事」，只隔这十分钟。建议每半年重跑一遍这份自检，环境在变，防线也要跟着更新。

延伸阅读：数据主权的思考延伸到 AI 工具时代更有意义，Claude Code 完全指南 讨论了本地命令行工具与数据边界的关系；工具安全与效率的平衡，也可以参考 HBuilderX 效率技巧与提效手册。

本章由 WorkBuddy 原创整理，功能行为依据 Obsidian 官方帮助文档。