使用DockerCompose搭建Enclosed加密传输服务

特点

• 端到端加密 ：您的笔记在客户端加密，使用 AES-GCM 和使用 PBKDF2 派生的 256 位密钥。
• 文件附件 ：与您的笔记安全地共享文件。
• Zero Knowledge ：服务器无法访问笔记或文件的内容。
• 可配置的安全选项 ：设置密码、到期时间，并选择阅读笔记后自毁。
• 简约的用户界面 ：简单直观的用户界面，可快速共享笔记。
• i18n 支持 ：提供多种语言。
• 身份验证 ：可选电子邮件/密码身份验证来创建笔记。
• 黑暗模式 ：适合深夜分享笔记的黑暗主题。
• 响应式设计 ：适用于所有设备，从台式机到手机。
• 开源 ：源代码可在 Apache 2.0 许可下使用。
• 自托管 ：运行 Enclosed 实例以进行私人笔记共享。
• CLI ：用于从终端创建笔记的命令行界面。
• 对环境的影响非常小 ：该应用程序和文档在 websitecarbon.com 上被评为 A+

应用场景

• 安全分享文件给他人
• 内网传输，远程通信加密
• 博主自用、团队私密资料交换

工作原理

用户在客户端创建笔记，填写内容并可选择设置密码。系统在客户端生成一个基础密钥（base key），即使不设置密码也能保证加密安全。然后，通过将基础密钥和可选密码结合，使用 PBKDF2+SHA-256 算法派生出主密钥（master key）。接着，使用 AES-GCM 加密算法，用主密钥对笔记内容进行加密。

加密后的笔记连同一些元数据（如有效期TTL、是否密码保护、是否阅后即焚）一起发送到服务器。服务器负责存储加密笔记，并分配一个唯一ID。系统生成一个包含笔记ID和基础密钥（作为URL的哈希片段）的链接，发送给指定接收者。由于哈希片段不会发送到服务器，这样能最大限度地保证安全性。

接收者打开链接后，客户端根据笔记ID从服务器获取加密内容和元数据，同时从URL哈希片段中提取基础密钥。若笔记设置了密码，接收者需输入密码。客户端再用输入的密码和基础密钥通过 PBKDF2+SHA-256 派生出主密钥，并用它解密笔记，最终呈现给接收者。

整个流程确保笔记在传输和存储过程中均为加密状态，只有拥有正确链接和密码（如有）的人才能解密阅读，实现端到端的安全保护。

为何使用 Docker Compose 搭建

• 易部署：无需安装依赖，跨平台运行
• 易管理：通过 docker-compose up/down 快速启停
• 易扩展：可与 Nginx、TLS、自定义脚本配合使用

部署前的准备

• 📋 环境要求

  • 一台支持 Docker 的服务器（推荐 Linux）
  • 安装 Docker 和 Docker Compose
  • 域名
  • CloudFlare 账号

• 🌐 网络要求

  • 确保开放相应端口（默认 8080）

• 📁 目录结构建议：

enclosed/
├── docker-compose.yml
└── data/            # 文件数据挂载目录

开始搭建

更新系统

sudo apt update && sudo apt upgrade -y

安装 Docker（官方推荐方式）

curl -fsSL https://get.docker.com -o get-docker.sh
sudo sh get-docker.sh

添加当前用户到 docker 组（避免每次使用 sudo）

sudo usermod -aG docker $USER
newgrp docker

安装 Docker Compose（v2 推荐）

sudo apt install docker-compose-plugin -y

确认是否安装成功：

docker compose version

创建项目目录并进入

mkdir -p ~/enclosed && cd ~/enclosed

编写 docker-compose.yml

vi docker-compose.yml

按 i 进入编辑模式，粘贴以下内容：

version: '3'

services:
  enclosed:
    image: enclosedproject/enclosed:latest
    container_name: enclosed
    ports:
      - "8080:8080"
    volumes:
      - ./data:/app/data
    restart: unless-stopped

按 ESC 退出编辑模式，按 wq 保存退出编辑器

开放防火墙端口，如果你启用了防火墙（如 UFW），请开放 8080 端口：

sudo ufw allow 8080/tcp

启动 Enclosed 服务

docker compose up -d

查看容器状态：

docker ps

访问服务

http://<你的服务器IP>:8080

至此，你已经成功搭建了属于自己的 Enclosed 加密传输服务，界面已经可以正常访问。

大家根据上述表格检查即可

🔐 为 Enclosed 配置 HTTPS 加密访问（基于 Nginx + Let’s Encrypt）

🧾 预备条件

安装 Nginx 和 Certbot

sudo apt update
sudo apt install nginx -y
sudo apt install certbot python3-certbot-nginx -y

为域名配置 Nginx 反向代理

sudo vi /etc/nginx/sites-available/enclosed

添加以下内容（请将 secure.example.com 替换为你的域名）：

server {
    listen 80;
    server_name secure.example.com;

    location / {
        proxy_pass http://localhost:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

保存并退出，然后启用配置并测试：

sudo ln -s /etc/nginx/sites-available/enclosed /etc/nginx/sites-enabled/
sudo nginx -t && sudo systemctl reload nginx

申请 Let’s Encrypt 免费证书

使用 Certbot 自动申请 HTTPS 证书并配置 Nginx：

sudo certbot --nginx

• 按提示选择你的域名（如 secure.example.com）
• 选择「重定向所有 HTTP 到 HTTPS」选项（推荐） 成功后，Certbot 会自动修改你的 Nginx 配置，并启用 443 端口。

验证 HTTPS 是否启用成功

https://secure.example.com

设置证书自动续期（可选）

sudo certbot renew --dry-run

🧩 完整的 HTTPS Nginx 配置示例（带证书）

server {
    listen 80;
    server_name secure.example.com;
    return 301 https://$host$request_uri;
}

server {
    listen 443 ssl;
    server_name secure.example.com;

    ssl_certificate /etc/letsencrypt/live/secure.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/secure.example.com/privkey.pem;

    location / {
        proxy_pass http://localhost:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

cd ~/enclosed
docker compose pull