公告标题写了维护与安全，安全部分去哪一页核对
版本公告标题同时写维护与安全时，安全修复的具体内容该去哪一页核对，跟进动作是什么——新闻首页只解决”有没有发布”，修复项、受影响版本和处置建议都在后面的具体页面里。跟进的第一步是找对页面，而不是读标题。
标题与分类栏目给的线索
WordPress 官方新闻页在近期把 7.1.3 标注为维护与安全发布，发布时间为 2026 年 10 月 6 日，同一条记录被同时归在发布与安全两个栏目下；更早的 7.1.1、7.1.2 也采用同样的标注方式。这两个线索各有用途：标题里的”安全”提示存在修复项，分类栏目则是检索入口——按安全类目翻列表，比在首页逐条看更容易排出一条时间线。
| 页面位置 | 通常能读到 | 通常读不到 | 核对要点 |
|---|---|---|---|
| 新闻首页摘要 | 版本号、发布日期、是否属安全类 | 具体修复项 | 只用于确认有无发布 |
| 单条发布页 | 修复概述、影响说明 | 完整受影响版本区间 | 看修复类型是否涉及自己在用的功能 |
| 安全公告或修复清单页 | 问题类型、受影响区间、修复版本 | 部署侧的处置步骤 | 用它对齐自家版本 |
| 自家升级说明 | 升级步骤、配置变更、建议动作 | 历史版本的完整差异 | 看有没有凭证轮换类要求 |
自家公告该怎么写
对照自家口径更直观。AnQiCMS 的 v3.6.6 发布于 2026 年 10 月 8 日，公告把两项高危修复分别写为列表排序参数存在的 SQL 注入，以及站点切换使用的登录凭证可被伪造——后者改为一次性票据的处理方式；升级建议里明确要求轮换服务端签名密钥并修改管理员密码。这类写法有两个可借鉴点：修复项按”注入点”和”凭证链”分开列，处置动作里包含升级之后仍要执行的步骤，而不是一句”建议尽快升级”。
跟进动作的三步顺序
第一步确认受影响版本区间，把它和线上实际版本对上，注意区分”受影响”与”已修复”的分界版本。第二步判断是否用到相关能力：注入点如果出现在列表排序，就要检查站内是否有对外暴露排序参数的列表；凭证类问题则要确认登录与会话相关的配置。第三步排维护窗口：补丁安装之前先做备份，之后按公告建议轮换服务端签名密钥、重置管理员口令，最后回归一遍后台登录与列表页。
内置防护不替代补丁跟进
JWT 认证、内容敏感词过滤与防采集干扰码属于程序内的现有能力，它们缩小的是常规攻击面，不能替代上游安全公告的跟进。同类产品反复发布维护与安全版本，本身就说明插件生态与核心代码的风险是持续性的，靠一次配置固化解决不了。
常见问题
公告标题只写”维护”，要不要当作安全更新处理？ 要按发布说明核对。若该条同时挂在安全类目，或描述里出现修复项类型，就按安全跟进流程处理。
怎么确认自己是不是在受影响区间内？ 以公告给出的区间为准，对照当前版本号；版本号只在自家接口或后台可见时，先查后台系统信息再比对。
修复项涉及登录凭证，只升级够吗？ 不够。按建议轮换服务端签名密钥并修改管理员口令，否则旧凭证在升级前后仍然可用。