版本 2.2.5（安全更新）

发布日期：2025-12-11
发布环境：生产环境

新功能

• 引入密钥轮转与失效广播
  • 支持在集群内广播密钥失效事件，确保旧密钥签发的令牌在轮转后统一失效。
  • 提升密钥管理的可控性与及时性，减少跨节点令牌有效性不一致的风险。
• 支持按环境独立密钥
  • 不同环境（如开发、测试、生产）使用独立的签名密钥，降低密钥共用导致的横向风险。
  • 有助于实现环境级别的访问隔离与审计分离。
• 新增审计：记录敏感操作与导出事件并支持追溯
  • 系统对敏感操作（如权限变更、账户策略调整）及数据导出行为进行审计记录。
  • 审计条目包含必需的上下文信息，支持事后追溯与合规检查。

功能优化（安全加固）

• 加强 JWT 过期与签名校验
  • 对令牌过期时间与签名进行更严格校验，过期或签名不匹配的令牌将被拒绝。
  • 统一校验策略，避免因宽松校验造成的安全边界差异。
• 关闭不必要的模板文件访问
  • 在模板解析流程中禁用不需要的文件访问能力，降低模板引擎被滥用的风险。
  • 保留必要的模板渲染功能，不影响正常页面/报表输出。

问题修复

• 修复令牌校验绕过风险（SEC-2024-017）
  • 修正令牌校验逻辑中的绕过路径，防止通过构造异常令牌规避认证。
  • 对相关接口增加一致性的校验流程与错误处理。
• 修复管理搜索接口的注入风险，统一参数化查询
  • 管理端搜索接口全面采用参数化查询，消除拼接式查询带来的注入风险。
  • 对输入进行类型与范围约束，降低潜在的恶意输入影响面。

依赖升级

• 升级模板解析依赖至安全版本
  • 引入包含安全修复的模板解析库版本，配合本次文件访问限制策略。
  • 经过兼容性验证，不影响既有模板语法的正常使用。

技术说明与注意事项

• 令牌与密钥管理
  • 进行密钥轮转后，旧密钥签发的令牌将按失效广播策略及时失效；可能需要客户端重新认证。
  • 建议在多节点部署中验证各节点对失效广播的订阅与处理是否一致，确保行为统一。
  • 独立环境密钥需分别维护与轮转，避免跨环境共享，确保审计与合规隔离。
• 审计与合规
  • 审计日志包含敏感操作与导出事件，建议配置合适的保留策略与访问权限控制。
  • 为支持追溯，请确保日志时间同步与唯一标识一致性（如用户、会话、请求标识）。
• 模板解析与文件访问
  • 若存在依赖模板引擎直接访问文件的定制逻辑，请评估并迁移到受控的资源加载方式。
  • 建议在灰度环境验证模板渲染的关键路径，避免误禁用造成展示异常。
• 管理搜索接口
  • 由于参数化查询与输入约束的统一启用，可能影响依赖自由文本拼接的历史查询用法；请按新参数规范调用。

发布后建议

• 立即更新服务器密钥并执行密钥轮转，验证失效广播在各节点生效。
• 启用强制双因素登录（2FA），提升账户层面的防护强度。
• 审查最近 30 天的审计日志与异常告警，关注敏感操作与导出事件的异常模式。