不是 VNC！Obsidian 网页版来了：Docker 自托管 Ignis 部署教程

我为什么想要一个能远程访问的笔记应用？#

先交代一下背景。我对笔记应用有几条硬标准：

1. 好看，主题丰富，可扩展，社区够大
2. 笔记有私密性，本地优先
3. 免费最好（不强求）
4. 全平台，尤其要有 Web 端——出门在外，浏览器是最不挑设备的入口

这套标准筛下来，Obsidian 在前三条全部命中，唯独第四条卡住了。Obsidian 是 Electron 应用没有官方 Web 版，官方论坛也直接确认过这一点¹。它本质是浏览器渲染 UI + Node.js 跑本地逻辑，插件直接调 Node API 和系统能力²。浏览器沙箱里没有 Node，装不了本地文件、跑不了 child_process，所以 Obsidian 的原生二进制没法直接塞进网页。

Ignis 是怎么在浏览器里跑起 Obsidian 的？#

Ignis 并不是 Docker 里装个 Obsidian 桌面版，再用 VNC/KasmVNC 把画面推给浏览器³，而是绕开”在浏览器里跑 Node”这个死结：它写了一个兼容层，把 Obsidian 依赖的 Electron/Node API 逐个在浏览器端重新实现，Obsidian 本体原封不动地在浏览器里跑⁴。vault 文件留在服务器上，由服务端负责读写和持久化。

项目本身不包含任何 Obsidian 代码，Docker 容器首次启动时从 Obsidian 官方源下载客户端，协议是 AGPL v3⁵。

Ignis 有哪些功能特性？#

• 完整的核心体验：编辑器、Canvas、Bases、命令面板、右键菜单、主题、CSS 片段
• 大部分社区插件能跑——依赖 Node 原生模块或 child_process 的除外
• 多 vault 管理，每个浏览器标签页可以开不同的 vault
• 多标签页通过 WebSocket 实时同步，编辑 1 秒内互相可见
• 笔记可用 ?file= URL 直接打开，工作区可用 ?workspace= 直达
• 同步双方案：网页里登录官方 Obsidian Sync，或者用服务端 Headless Sync（不用开网页也在后台同步）
• 移动端自适应界面

用 Docker 部署 Ignis 需要什么条件？#

一台装好 Docker 的机器即可，没有其他硬性要求。建议内存 1 GB 以上，因为要跑 Obsidian 渲染进程。官方要求文档见⁶。

本地快速起步：如何用 Docker Compose 跑起 Ignis？#

先在本机试跑，验证效果再谈公网。找一个空目录，保存 docker-compose.yml：

1
services:
2
  ignis:
3
    image: nobbe/ignis:latest
4
    ports:
5
      - "8080:8080"
6
    environment:
7
      # 改成你主机的用户 ID（终端运行 id 查看）
8
      - PUID=1000
9
      - PGID=1000
10
    volumes:
11
      - ./vaults:/vaults
12
      - ./data:/app/data
13
      - obsidian-app:/app/obsidian-app
14
    restart: unless-stopped
15

16
volumes:
17
  obsidian-app:

三个挂载点各管一件事：

然后启动：

1
docker compose up -d

首次启动会从官方源拉取 Obsidian 和 headless CLI，等一两分钟，浏览器打开 http://localhost:8080。如果 vaults 文件夹里已有 vault 会自动加载，否则进入 vault 管理器新建。

若端口冲突启动失败就换端口，改左边数字即可，例如 9000:8080。

这套配置只适合本地试跑——Ignis 没有内置认证，直接暴露公网等于把整个 vault 送给路过的人。

公网部署时如何加认证和 HTTPS？推荐 Caddy + basic auth#

公网部署必须做两件事：套 HTTPS，加认证。HTTPS 不只是为了保密——浏览器的加密和剪贴板 API 只对安全上下文（HTTPS 或 localhost）开放，纯 HTTP 公网访问会让 Obsidian 的部分功能直接失效⁸。

推荐组合是 Caddy + basic auth：Caddy 自动申请和续期 Let’s Encrypt 证书，一行配置就带 HTTP 基本认证。对单用户自用来说，这比 Authelia 这类完整身份系统轻得多，少一个要维护的服务，安全性对这个场景已经足够。项目仓库自带这个组合的完整示例⁹。

完整 docker-compose.yml：

1
services:
2
  caddy:
3
    image: caddy:2
4
    ports:
5
      - "80:80"
6
      - "443:443"
7
    volumes:
8
      - ./Caddyfile:/etc/caddy/Caddyfile:ro
9
      - caddy_data:/data
10
      - caddy_config:/config
11
    networks:
12
      - ignis
13
    restart: unless-stopped
14

15
  ignis:
16
    image: nobbe/ignis:latest
17
    environment:
18
      - OBSIDIAN_VERSION=1.12.7
19
    volumes:
20
      - ./vaults:/vaults
21
      - ./data:/app/data
22
      - obsidian-app:/app/obsidian-app
23
    networks:
24
      - ignis
25
    restart: unless-stopped
26

27
networks:
28
  ignis:
29

30
volumes:
31
  caddy_data:
32
  caddy_config:
33
  obsidian-app:

和本地试跑版的关键区别：两个容器挂在同一个内网 network 上，Caddy 反向代理到 ignis:8080，外网只暴露 80/443，ignis 不映射任何端口，公网根本碰不到它。

同目录的 Caddyfile：

1
ignis.example.com {
2
  basic_auth {
3
    admin $2a$14$REPLACE_THIS_WITH_YOUR_BCRYPT_HASH
4
  }
5

6
  reverse_proxy ignis:8080
7
}

把 ignis.example.com 换成你的域名并解析到服务器 IP，Caddy 会自动从 Let’s Encrypt 申请证书。认证密码要先生成 bcrypt hash：

1
docker run --rm caddy:2 caddy hash-password --plaintext YOUR_PASSWORD

把输出填进 Caddyfile 替换占位符即可。

两个建议：

• 设置 WS_ORIGINS=https://你的域名，给 WebSocket 连接加 Origin 白名单校验，防止其他网站偷连你的实例
• 暂时没有域名、想先在本机验证整套组合，Caddyfile 里可以用 :443 配合自签证书，浏览器点过警告即可用

部署 Ignis 时哪些配置值得调？#

1
    volumes:
2
      - ./vaults:/vaults
3
      - /mnt/nas/MyVault:/vaults/MyVault

1
    volumes:
2
      - ./obsidian.deb:/packages/obsidian.deb:ro
3
    environment:
4
      - OBSIDIAN_PACKAGE=/packages/obsidian.deb

如何更新 Docker 容器？#

两条命令：

1
docker compose pull
2
docker compose up -d

vault、数据和设置都不会动。唯一要留意的是版本锁定机制：Obsidian 每次更新都可能破坏兼容层，所以 Ignis 每个 release 都会锁定一个自己验证过的 Obsidian 版本¹¹。更新 Ignis 会跟着它切到对应版本；想抢先试新版 Obsidian，可以手动设 OBSIDIAN_VERSION，但官方不保证能正常跑。

它值不值得用？#

回到开头那四条标准。Ignis 免费、自托管、数据完全在自己手里，唯一牺牲是部分依赖原生能力的插件用不了——如果你主力插件都是纯 API 的（Dataview、Templater、Excalidraw 这类都能跑），几乎无感。

对我个人来说，它解决的是最实际的场景：Docker 部署 + Tailscale，任何设备打开浏览器就能读、能写、能管理笔记，又能同时满足”私密、免费、好看、全平台”的没几个，Ignis 把 Obsidian 的最后一块拼图补上了。