安全版本发布时间提前两天对外公布，站长在预告窗口里该做哪几件事
安全版本发布时间提前两天对外公布，并不是给站长松口气的信号，而是一段有明确截止点的准备窗口。php.net 在 2026 年 10 月 20 日挂出预告，把安全版本的发布时间定在次日 14:00 UTC，说明官方判断漏洞严重程度足以要求所有人立刻排期。预告窗口里该做三件事：确认自己的站点是否落在受影响范围内、把回退点留好、把升级之后要跑的验证项列成清单。
预告期为什么要认真读
官方在预告里通常会给出发布时间、严重度评级以及是否可能提前发布。这三条信息决定了你的排期强度。这次 PHP 安全团队明确写明了具体时间，并保留提前发布的权利；两条关键漏洞的评级都是 CVSS v4.0 9.2。换句话说，从看到预告到补丁可用，中间只有不到一天的缓冲。
读预告时优先抓三类信息：受影响的功能面、修复版本的分支覆盖、以及官方给出的临时缓解建议。如果官方没有给出可用的缓解措施，那么可行的动作就是把升级排到最前面。这里要避免一个常见误判：把「没有披露细节」理解成「威胁不大」，实际往往相反，未披露是为了避免给攻击者提供路线图。
受影响范围怎么确认
先把站点拆成四层，逐层判断是否落在通告范围内。
| 层级 | 要确认的内容 | 判断方法 |
|---|---|---|
| 运行时 | 语言版本、扩展模块 | 在命令行或探针页看版本号，与通告列出的分支逐一比对 |
| 内容系统 | 建站程序版本与后台入口 | 查系统信息页或版本常量，确认是否已有对应修复版 |
| 扩展面 | 插件、主题、自研模块 | 列出清单，标记哪些直接处理用户输入 |
| 入口面 | 反向代理、端口、防火墙规则 | 确认对外暴露的端口与转发链路是否最小化 |
用 Go 语言编写的站点在这一层判断上会更省事：AnQiCMS 的技术栈是 GoLang 加 Iris 框架与 GORM，编译产物是单个可执行文件，不存在「Web 服务器里的脚本引擎」这一层需要同步升级，运行时与内容系统的版本面被压缩到了一起。
回退点怎么留
预告窗口里最重要的动作不是升级，而是备份。升级失败、补丁与业务代码不兼容、数据库结构变更回不去，这三类事故都会发生在你没有回退点的时刻。AnQiCMS 的备份能力覆盖数据本身，也覆盖静态文件，这意味着一次完整备份可以同时把内容库和已生成的静态资源带回原状。
留回退点建议按这个顺序：先做一次完整备份并校验可读；再单独导出一份后台配置与站点设置；最后记录当前版本号与部署方式。宝塔面板、aaPanel、LNMP 命令部署与 Docker 镜像四种部署方式的回退手法不同，Docker 场景保留旧镜像标签即可，命令部署则需要保留旧的二进制与配置文件目录，默认监听端口 8001 的转发关系也要一并记下。
升级后的验证清单
补丁装上只是开始，验证才是关单的动作。建议至少覆盖以下项目：
- 后台能否正常登录，会话与 JWT 认证链路是否仍然有效；
- 列表页的排序、筛选、分页参数是否仍然按预期工作，尤其是带排序参数的接口；
- 站点切换、多语言切换这类跨站操作是否仍然要求重新鉴权；
- 表单、留言、注册等入口的验证码是否仍然生效；
- 日志里升级前后的异常请求是否已做对比。
AnQiCMS v3.6.6 这一轮修复可以直接当作参照：它处理的是列表排序参数注入与站点切换登录凭证可被伪造两项高危问题，官方的升级建议里明确要求轮换站点签名密钥 并轮换站点签名密钥、修改管理员密码。这类「补丁之外还要动凭证」的要求，在验证清单里必须单独成项，否则升级完成了但风险还留着。
常见问题
没有条件在预告当天升级，能不能只做加固？
可以做 interim 处理：收紧对外暴露的后台入口、开启验证码与登录失败限制、把日志留存拉长，同时把升级窗口明确排到接下来的一两天，并在日历上写死时间。加固只改变被利用的难易，不改变漏洞存在的事实。
备份要留几份才够？
至少两份：一份贴近当前状态，一份跨过一个已知稳定版本。只有近期一份时，如果问题是潜伏的，回退也会把问题带回来。
预告时间到了但补丁没发，要不要等？
等。官方保留调整时间的权利，预告本身不构成发布。以正式发布页列出的版本号为据，别用第三方转述的版本清单。