certyiknofetch/memos

Memos — 安全的自托管笔记服务

一款注重隐私、轻量级的自托管备忘录中心，用于捕获和组织您的思想。专为公开部署而强化了安全性。

!Docker Image Version !Docker Image Size !Docker Pulls

核心功能和特性

• Markdown编辑器：带格式工具栏（粗体、斜体、标题、代码、列表、链接等）
• 可见性控制：PUBLIC（公开）、PROTECTED（受保护）和PRIVATE（私有）笔记，带强制访问控制
• 多数据库支持：SQLite、MySQL和PostgreSQL
• 多平台支持：linux/amd64和linux/arm64架构
• 安全加固：内容安全策略（CSP）、CORS强制、路径遍历保护、IDOR防护、输入净化等
• 文件附件：上传图片和文件，带可见性感知的访问控制和缓存
• RSS订阅：通过RSS分享公开备忘录
• SSO/OAuth：与外部身份提供商集成
• 个人访问令牌：应用程序身份验证，支持可配置过期时间（8小时、1个月或永不过期）
• PWA就绪：可作为渐进式Web应用安装
• RESTful & gRPC API：完整API支持，便于自动化和集成
• 非root运行：容器以非root用户运行，提升安全性

使用场景和适用范围

• 个人私密笔记管理
• 团队内部知识共享（通过受保护笔记）
• 公开内容发布（通过公开笔记和RSS）
• 需要数据主权和隐私保护的场景
• 轻量级自托管服务部署

使用方法和配置说明

快速启动

SQLite（默认 - 零配置）

bash
docker run -d \
  --name memos \
  -p 5230:5230 \
  -v memos-data:/var/opt/memos \
  certyiknofetch/memos:latest

通过 http://localhost:5230 访问。第一个注册的用户将成为管理员。

数据库配置

SQLite（默认）

无需额外配置。数据存储在 /var/opt/memos/ 目录。

yaml
services:
  memos:
    image: certyiknofetch/memos:latest
    ports:
      - "5230:5230"
    volumes:
      - memos-data:/var/opt/memos

volumes:
  memos-data:

MySQL

yaml
services:
  memos:
    image: certyiknofetch/memos:latest
    environment:
      - MEMOS_DRIVER=mysql
      - MEMOS_DSN=memos:your_secure_password@tcp(mysql:3306)/memos?parseTime=true&tls=preferred
    ports:
      - "5230:5230"
    volumes:
      - memos-data:/var/opt/memos
    depends_on:
      mysql:
        condition: service_healthy

  mysql:
    image: mysql:8.0
    environment:
      - MYSQL_ROOT_PASSWORD=root_secure_password
      - MYSQL_USER=memos
      - MYSQL_PASSWORD=your_secure_password
      - MYSQL_DATABASE=memos
    volumes:
      - mysql-data:/var/lib/mysql
    healthcheck:
      test: ["CMD", "mysqladmin", "ping", "-h", "localhost"]
      interval: 10s
      timeout: 5s
      retries: 5

volumes:
  memos-data:
  mysql-data:

PostgreSQL

yaml
services:
  memos:
    image: certyiknofetch/memos:latest
    environment:
      - MEMOS_DRIVER=postgres
      - MEMOS_DSN=postgresql://memos:your_secure_password@postgres:5432/memos?sslmode=disable
    ports:
      - "5230:5230"
    volumes:
      - memos-data:/var/opt/memos
    depends_on:
      postgres:
        condition: service_healthy

  postgres:
    image: postgres:16
    environment:
      - POSTGRES_USER=memos
      - POSTGRES_PASSWORD=your_secure_password
      - POSTGRES_DB=memos
    volumes:
      - postgres-data:/var/lib/postgresql/data
    healthcheck:
      test: ["CMD-SHELL", "pg_isready -U memos"]
      interval: 10s
      timeout: 5s
      retries: 5

volumes:
  memos-data:
  postgres-data:

环境变量

Docker Secrets支持

为安全处理DSN，使用 MEMOS_DSN_FILE 替代 MEMOS_DSN：

yaml
services:
  memos:
    image: certyiknofetch/memos:latest
    environment:
      - MEMOS_DRIVER=mysql
      - MEMOS_DSN_FILE=/run/secrets/memos_dsn
    secrets:
      - memos_dsn

secrets:
  memos_dsn:
    file: ./memos_dsn.txt

反向代理（Nginx Proxy Manager）

在反向代理后部署时：

1. 配置代理转发至 memos:5230
2. 如需WebSocket支持，请启用
3. 应用会安全处理 X-Forwarded-Proto 和 X-Forwarded-Host 头
4. 推荐：在代理上启用HTTPS以确保安全的Cookie处理

卷

重要：定期备份此目录，尤其是使用SQLite时。

支持的架构

安全亮点

• 非root容器 — 默认以UID ***运行
• 内容安全策略 — 强制CSP头防止XSS***
• 可见性强制 — 私有和受保护内容在API层面要求身份验证
• 路径遍历保护 — 所有文件操作均验证以防止目录遍历***
• 输入净化 — 全程对URL、文件名和内容进行净化
• 安全Cookie — 身份验证Cookie带有HttpOnly、Secure、SameSite标志
• 速率限制 — 身份验证端点内置速率限制
• CORS强制 — 生产环境中严格的CORS策略

升级

bash
docker pull certyiknofetch/memos:latest
docker stop memos
docker rm memos
docker run -d \
  --name memos \
  -p 5230:5230 \
  -v memos-data:/var/opt/memos \
  certyiknofetch/memos:latest

数据库迁移会在启动时自动应用。

标签

• latest — 最新稳定版本
• 1.1 — 特定版本标签

来源

基于 https://github.com/usememos/memos 并进行安全加固和增强。