Excalidraw安全性评估：数据本地存储无泄露风险-平芜编程栈

Excalidraw安全性评估：数据本地存储无泄露风险

在远程协作日益成为常态的今天，团队对可视化工具的需求早已超越“能画图”的基本功能。从产品原型到系统架构设计，一张白板可能承载着尚未公开的技术方案、敏感业务流程甚至核心知识产权。一旦这些内容被无意上传或长期滞留在第三方服务器上，后果不堪设想。

正是在这样的背景下，Excalidraw 逐渐走进了安全敏感型团队的视野。它不像某些商业白板工具那样默认将一切同步至云端，而是反其道而行之——你的画布，只属于你自己的浏览器。这种“默认离线”的设计理念，让它在众多同类产品中脱颖而出，尤其受到开发团队和安全工程师的青睐。

但这是否真的意味着绝对安全？AI 功能的引入会不会打破这一平衡？当协作不可避免地需要分享链接时，数据又去了哪里？我们不妨深入代码与架构底层，看看 Excalidraw 是如何构建起一道道隐私防线的。

数据从不主动离开你的设备

Excalidraw 最核心的安全承诺很简单：除非你明确要求，否则没有任何数据会离开你的浏览器。

当你打开一个 Excalidraw 实例（无论是官方 demo 还是自建服务），所有绘图操作都发生在前端。每一条线条、每一个文本框都被记录为 JSON 对象，并通过 Zustand 管理状态。关键的是，这个状态会被持续写入localStorage——浏览器提供的一种持久化存储机制。

const STORAGE_KEY = 'excalidraw'; function saveToLocalStorage(data) { try { const serializedData = JSON.stringify(data); window.localStorage.setItem(STORAGE_KEY, serializedData); console.log('画布状态已保存至 localStorage'); } catch (error) { console.warn('无法写入 localStorage:', error); } } function loadFromLocalStorage() { try { const saved = window.localStorage.getItem(STORAGE_KEY); if (saved) { return JSON.parse(saved); } return null; } catch (error) { console.warn('无法读取 localStorage:', error); return null; } }

这段看似简单的代码，实则是整个安全模型的基石。它的逻辑非常直接：

页面加载时尝试从localStorage恢复上次的画布；
用户每次修改都会触发自动保存；
整个过程完全在客户端完成，不需要任何网络请求。

这意味着即使你在飞行模式下使用 Excalidraw，也能正常绘制并保留内容。下次打开页面，一切如常。对于内网会议、涉密讨论或临时头脑风暴来说，这种“断网可用”的能力至关重要。

当然，localStorage并非完美。它的容量通常限制在 5–10MB，且依赖于设备和浏览器。如果用户清除了缓存，数据也会随之消失。因此，在实际使用中建议定期导出.excalidraw文件作为备份。但换个角度看，这也是一种安全优势：没有冗余副本散落在各处，降低了信息残留的风险。

更重要的是，你可以随时打开开发者工具，查看localStorage中的内容。你会发现，数据是以明文 JSON 存储的，没有任何隐藏上传的行为。这种透明性让使用者真正掌握了控制权——你知道数据在哪，也知道它是如何被处理的。

分享 ≠ 泄露：短暂中继而非永久托管

很多人担心的是：“那如果我要和同事协作呢？难道就不能用了？” 其实，Excalidraw 的协作机制同样建立在最小信任原则之上。

当你点击“Share”按钮生成链接时，当前画布的数据会被压缩并编码成 URL 参数（通常是 Base64）。例如：

https://excalidraw.com/#json=K8jzqBvRkT-wd2aZlLz7C,9xXo...

这个链接指向的是 Excalidraw 官方提供的一个中继服务（基于 Firebase Realtime Database）。其他人打开该链接后，可以从服务器获取初始数据，然后进入实时协作模式。

但这里有几个关键细节值得注意：

数据仅临时存在：默认情况下，这些共享数据会在 7 天后自动删除；
可主动销毁：你可以随时通过链接中的管理选项立即清除服务器上的副本；
支持密码保护与只读模式：进一步限制访问权限；
E2EE 加密选项（实验性）：启用后，数据在上传前会使用用户提供的密码进行加密，服务器无法解密内容。

也就是说，只有在你主动分享时，数据才会短暂出现在公网服务器上，而且生命周期可控。相比之下，许多 SaaS 工具会无限期保存所有版本历史，甚至用于训练 AI 模型，而 Excalidraw 显然更尊重用户的意图。

如果你连这种短暂的中继也无法接受，还有一个终极选择：完全关闭网络连接，用 U 盘拷贝.excalidraw文件进行传递。虽然不够优雅，但在极端安全场景下确实可行。

AI 辅助绘图：智能与隐私可以兼得吗？

近年来，越来越多的绘图工具开始集成 AI 生成功能。一句“帮我画个微服务架构”，就能自动生成包含 API 网关、认证服务和数据库的草图。听起来很酷，但也引发了一个根本性问题：我的输入会不会被记录？模型会不会记住这些敏感描述？

Excalidraw 的做法再次体现了克制与边界感。

它的 AI 功能并非内置，而是以插件形式存在，默认关闭。你需要自行配置外部 LLM 接口（如 OpenAI、Hugging Face），并提供自己的 API Key。最关键的一点是：这个密钥只存在于你的浏览器中。

async function generateDiagramWithAI(promptText, apiKey) { const cleanPrompt = sanitizeInput(promptText); const response = await fetch('https://api.openai.com/v1/chat/completions', { method: 'POST', headers: { 'Content-Type': 'application/json', 'Authorization': `Bearer ${apiKey}` }, body: JSON.stringify({ model: 'gpt-4o-mini', messages: [ { role: 'system', content: '你是一个图表生成助手，请返回 Mermaid.js 语法代码块。' }, { role: 'user', content: cleanPrompt } ] }) }); const data = await response.json(); const aiOutput = data.choices[0].message.content; const diagramElements = parseMermaidToExcalidraw(aiOutput); addToCanvas(diagramElements); return diagramElements; }

这段代码揭示了其工作逻辑的本质：Excalidraw 只是一个本地代理。它把你的指令转发给 OpenAI，拿到结果后再解析渲染到画布上。整个过程中：

API Key 不会上传到任何中间服务器；
请求体仅包含清洗后的 prompt 文本，不含历史画布或其他上下文；
响应结果直接在客户端处理，不会回传给 Excalidraw 官方。

此外，输入还会经过初步脱敏处理：

function sanitizeInput(text) { return text .replace(/\d{1,3}\.\d{1,3}\.\d{1,3}\.\d{1,3}/g, '[REDACTED_IP]') .replace(/@[\w.-]+/g, '[REDACTED_EMAIL]'); }

虽然这不能替代用户自身的谨慎（比如不要在 prompt 中写真实系统名称），但它至少建立了一层基础防护。

更重要的是，组织可以在私有部署环境中彻底禁用 AI 插件模块。对于金融、医疗等强监管行业而言，这种“按需启用、全局禁用”的灵活性极具价值。

部署模式决定安全等级：三种架构的选择

Excalidraw 的安全性并不是固定的，而是取决于你如何使用它。我们可以将其部署模式划分为三个层级，对应不同的安全需求：

架构类型	数据路径	安全等级	适用场景
公共在线版	浏览器 ↔ CDN + Firebase 中继	中	快速演示、非敏感协作
自托管私有实例	浏览器 ↔ 企业内网服务器	高	技术评审、内部培训
完全离线模式	浏览器 ↔ localStorage / 文件系统	极高	涉密项目、安全审计、飞行环境

大多数个人用户可能直接使用 excalidraw.com 就足够了。但对于企业级应用，尤其是涉及核心系统设计的场景，强烈建议采用 Docker 部署私有实例。

一个典型的高安全部署方案如下：

在 Kubernetes 集群中运行 Excalidraw 容器；
使用 Nginx 做反向代理，启用 HTTPS 和 LDAP/OAuth 认证；
关闭所有外部插件（包括 AI 和第三方库）；
日志接入 SIEM 系统，监控异常访问行为；
定期备份重要画布文件至加密存储。

在这种架构下，所有协作流量都在内网流转，既保障了效率，又实现了数据主权的完全自主。

真实案例：一家金融科技公司的安全实践

某金融科技公司在设计新一代支付网关时，面临一个典型挑战：既要多部门协同评审架构图，又要确保设计方案不外泄。

他们采用了以下流程：

准备阶段
运维团队在隔离网络中部署了 Excalidraw 私有实例，域名为whiteboard.internal.fintech.com，并通过 LDAP 控制访问权限。
设计阶段
架构师 A 开始绘制组件图。所有操作自动保存至本地localStorage，无需联网。
协作阶段
A 启用 E2EE 加密并生成共享链接，通过企业 IM 私聊发送给 B 和 C。三人同时编辑，所有 WebSocket 通信经由内网服务器转发，不出防火墙。
归档阶段
会议结束后，导出.excalidraw文件存入加密文档库，并主动销毁共享链接。

整个过程中，原始设计稿从未暴露于公网，符合 ISO 27001 与《数据安全法》的要求。更重要的是，团队成员清楚地知道每一笔数据的去向，而不是盲目信任某个“黑箱”平台。