Jellyfin Ubuntu版安全性评估
在Ubuntu上运行的Jellyfin本身具备良好的安全基础（开源、隐私优先、社区维护），但其安全性主要取决于安装来源、版本是否及时更新以及网络与权限配置。历史上有过严重漏洞（如CVE-2021-21402、CVE-2022-30626）已被修复，因此只要保持更新并做好基础加固，风险是可控的。
已知风险与修复要点
- 历史高危问题包括路径遍历导致的任意文件读取：CVE-2021-21402（影响**< 10.7.1**）与 CVE-2022-30626（影响10.8.0–10.8.9）。修复方式是升级至≥10.7.1或≥10.8.10。此外，曾出现通过构造路径如“/Audio/…/…%5C…%5Cdata%5Cjellyfin.db/stream.mp3/”尝试读取数据库与系统文件的情况，暴露面越大风险越高。建议立即自查是否存在历史暴露与弱版本。
安全加固清单
- 安装与更新
- 使用官方APT 仓库添加GPG签名并安装，避免不受信任的第三方源；保持系统与 Jellyfin 的及时更新（安全补丁第一时间应用）。
- 运行隔离与最小权限
- 优先采用Docker部署以隔离进程与文件系统；或在主机上创建专用系统用户运行 Jellyfin，严格限制其对媒体目录与配置目录的访问权限（仅授予所需读/写）。
- 网络与访问控制
- 启用UFW等防火墙，仅开放必要端口；如通过互联网访问，建议仅允许反向代理/内网来源；云服务器需同步配置安全组规则。
- 加密与传输
- 启用HTTPS/TLS（可用Let’s Encrypt与Certbot），对外仅暴露443；如经反向代理，确保正确设置X-Forwarded-Proto等头部，避免协议降级与重定向安全问题。
- 反向代理与额外防护
- 使用Nginx/Apache做反向代理与速率限制/请求过滤；对外隐藏管理端口与内部接口；必要时限制可访问的来源 IP与用户代理。
快速自检与加固命令示例
- 版本核验与更新
- 查看版本：cat /opt/jellyfin/version 或 systemctl status jellyfin
- 更新系统：sudo apt update && sudo apt full-upgrade -y
- 更新 Jellyfin：sudo apt update && sudo apt install --only-upgrade jellyfin -y
- 防火墙与端口
- 仅开放 SSH 与 HTTPS：sudo ufw allow OpenSSH；sudo ufw allow 443/tcp；sudo ufw enable
- HTTPS 与反向代理（示例）
- 获取证书：sudo certbot certonly --standalone -d your.domain
- Nginx 片段：将 /.well-known/ 直连本地；ProxyPass / “http://127.0.0.1:8096/”；为 /socket 配置 ws:// 反向代理；设置 X-Forwarded-Proto 为 https。
