问题你的 NAS 媒体文件其实没有加密很多人买了 NAS装了 Plex 或 Jellyfin觉得数据在自己家里很安全。但有一个被大多数人忽略的事实Plex 和 Jellyfin 不会加密硬盘上的原始文件。它们只加密了传输链路HTTPS但文件本身以明文形式躺在硬盘上。这意味着NAS 被盗 → 所有照片、视频直接可读硬盘送修 → 维修人员可以查看全部内容二手出掉旧硬盘 → 数据恢复工具能还原一切这不是假设场景。我一个朋友家里被盗NAS 被搬走孩子的整个童年相册就这样落入陌生人手中——因为文件没有加密。为什么需要静态加密Encryption at Rest加密分两种类型说明Plex/Jellyfin真正的解决方案传输加密数据在网络中传输时加密✅ 有✅ 有静态加密数据写入硬盘时就加密❌ 没有✅ 有只有静态加密才能防止物理层面的数据泄露。传输加密再强硬盘被拔走就全白搭。在调研了一圈方案后我找到了Vauldy一个用 Go React 构建的开源媒体服务器。它的核心特点是文件写入硬盘前就完成加密解密只在播放时的内存中进行。技术原理用户上传/扫描文件 ↓ 加密处理写入前 ↓ 硬盘存储加密后的 blob无法直接读取 ↓ 用户播放/查看 ↓ 内存中解密不落盘→ 渲染展示加密密钥由用户自己管理不上传到任何服务器零知识架构即使有人拿到硬盘看到的也只是加密后的无意义数据解密过程在浏览器/App 的内存中完成解密后的数据不会写回硬盘和 Plex/Jellyfin 的技术对比特性VauldyPlexJellyfin传输加密 (HTTPS)✅✅✅静态加密 (硬盘)✅❌❌零知识架构✅❌❌免费使用✅ 个人/家庭免费❌ 需 Plex Pass✅开源✅❌✅支持的媒体类型视频/音乐/图片/文档视频/音乐视频/音乐实际部署体验我用家里的 Synology DS920 跑了一下记录整个过程。环境要求任何支持 Docker 的 NASSynology、QNAP、Unraid、TrueNAS 均可或者直接在 Windows/Linux/macOS 上运行Docker 部署约 5 分钟docker run -d \ --name vauldy \ -p 8200:8200 \ -v ./data:/app/data \ -v /volume1/media:/media \ vauldy浏览器打开http://NAS_IP:8200默认账号admin/admin123记得改密码。创建媒体库进入管理后台 → 媒体库 → 创建选择类型电影 / 剧集 / 音乐 / 图片 / 文档添加文件夹路径指向你存放媒体的目录点击扫描系统会自动完成文件加密 → 元数据刮削TMDB/豆瓣等→ 海报抓取 → 字幕提取 → 预览图生成。播放体验浏览器能直接播的 MP4 走直链零转码延迟不兼容的格式自动走 HLS 自适应转码进度条有预览缩略图支持断点续播多音轨、多字幕轨切换实际测试 4K HEVC 转码播放在 DS920 的 J4125 CPU 上基本流畅局域网内。几个值得关注的技术细节1. 多用户隔离可以为家庭成员创建独立的加密空间。比如父母的空间所有媒体库孩子的空间只开放儿童内容带内容分级 PIN 锁 时段限制每个用户的加密空间独立互不可见。2. 文档也能加密存储除了视频和照片Vauldy 还支持文档类型PDF、EPUB、Office 文件。可以把扫描的证件、合同、账单等敏感文档也放进去加密存储支持在线预览。3. JIT 即时转码不需要预先转码所有文件。播放时按需转码支持 Redis 集群分布式转码适合多用户并发场景也支持单进程回退小 NAS 用不到 Redis。4. AI 辅助功能元数据刮削TMDB、TVDB、豆瓣、Bangumi、OMDb 五大数据源AI 大模型兜底图片分类ONNX MobileNet 场景分类人脸聚类InsightFace 人脸识别字幕生成Whisper ASR 语音识别这些功能都跑在本地不依赖云端服务。总结家庭 NAS 用户大多关注存储容量和播放体验但很少有人关注静态加密。实际上如果硬盘没有加密任何物理层面的入侵都意味着数据裸奔。Vauldy 是我目前找到的唯一一个同时满足以下条件的方案✅ 开源免费✅ 支持静态加密零知识架构✅ 全媒体类型视频/音乐/图片/文档✅ 支持主流 NAS 平台✅ 元数据刮削 AI 辅助功能完整如果你也在用 NAS 存储家庭媒体建议认真考虑一下静态加密这件事。项目地址GitHubknoxmedia · GitHub