v1.9.2 安全更新
- 修复客户端上传完成接口的路径穿越与本地文件认领问题，阻止读取存储目录外的文件。
- 云直传完成请求绑定服务端签发的上传授权，校验用户、策略、路径和大小，并防止重复完成。
- 本地文件访问增加根目录约束和符号链接防护，覆盖普通下载、签名预览、缩略图与取色；历史越界实体同样无法读取。
- 无用户隔离的默认本地根策略上传仅限管理员；独立挂载继续校验属主，旧上传会话完成时重新验证权限。
- 配置导出和自动备份不再包含 JWT 与本地文件签名密钥；恢复旧备份保留当前实例密钥，新备份使用更严格的文件权限。
建议所有使用文件上传功能的站点尽快升级。升级前未完成的云直传任务需要重新创建上传会话。普通用户不再通过共享默认根策略上传；独立挂载和业务图片上传保持可用。
若配置或备份曾被未授权读取，应在升级后轮换 JWT 和本地文件签名密钥，并审计备份内其他凭据。仅修改管理员密码不能代替签名密钥轮换。本次发布不自动清理历史备份，也不自动轮换现有站点密钥。
Anheyu App v1.9.2
🎉 正式版本发布！
📋 构建信息
- 版本:
v1.9.2 - Commit:
05a30c3 - 构建时间:
2026-11-06T10:02:20Z - Go 版本:
go version go1.25.14 linux/amd64
Changelog
🚀 新功能
- 1b89fcc: feat(comment): 拦截昵称违禁词并同步评论前端修复 (@anzhiyu-c)
🐛 问题修复
- 731b58a: fix(preview): 同步管理员文章预览前端 (@anzhiyu-c)
- 05a30c3: fix(security): confine upload paths and protect backup signing keys (@anzhiyu-c)
📚 相关链接
完整的 SHA256 校验和：anheyu-app_1.9.2_checksums.txt