国产建站系统的页面缓存也能被当代码执行，历史版本升级清单怎么看

国产建站系统的页面缓存也能被当代码执行，历史版本升级清单怎么看？这类问题的链路是：请求参数进入页面渲染，渲染结果被写成 HTML 缓存，缓存文件又落在可被解释执行的路径上，于是读缓存这一步等价于执行拼接出来的内容。当天核对到的 PbootCMS 更新日志里，V3.2.14 修的正是这条链：page 参数经蜘蛛标签反射写入 HTML 缓存导致代码执行，处置方式是缓存写入时剥离脚本标记。看升级清单要按危害面排序，不是按日期从上往下读。

为什么缓存会变成执行入口

缓存本来是渲染结果的落地文件，出问题的条件有两个：写入内容里混进了可控的脚本标记，以及读取路径又被解释器当作程序处理。两者同时成立时，攻击者不需要直接命中任何接口，只要让一次正常访问把恶意内容写进缓存，后续所有访客都会读到同一份被污染的结果。危害因此是站点级的，而不是单个页面级的。

清单上哪一类修复要排在最前

按能否直接导致代码执行排序。第一档是缓存、模板注入与反序列化类，命中即等同接管站点；第二档是查询条件未做参数绑定的注入类，危害在于数据被读取；第三档是跨站脚本与越权访问，危害在账号与访客；功能更新与体验优化排在最后。同一版本里混着多类修复时，按最严重的那一档决定升级紧迫度。

历史版本怎么逐条对照

只看最新版说明不够，要按版本号往回查。做法是先确认自己部署的版本号，再从更新日志里把自己到目标版本之间的所有条目列出来，逐条标注三项：是否涉及上面第一、二档，是否需要额外改配置，是否影响模板或伪静态规则的写法。中间存在必须改配置的版本时，直接把目标定在最新，不要在中间版本停一站。

升级动作之前要先做什么

先备份，包含数据库与静态文件两份，缓存类问题尤其要看清静态目录，被污染的缓存文件本身就在里面，只备数据库会在恢复时把脏缓存留下。第二步是在副本环境验证渲染结果与列表页排序正常。第三步才是在生产上清缓存并复核旧地址的访问表现。

日常加固补的是哪一层

代码执行链的入口靠升级关闭，运行时的可见性靠另一层控制。内容系统一侧的做法是把注入与跨站脚本防护做进程序内，同时在页面输出里加入防采集干扰码，让批量搬运拿到的不是干净正文。这层不替代补丁，只压缩被利用后的二次损失。

常见问题

问：站点没开页面缓存，是否就不涉及这类问题？ 答：仍然要查。蜘蛛标签、模板编译与统计快照都可能产生类似的落地文件，判断依据是更新日志里危害描述是否覆盖你启用的功能，而不是你有没有主动开启缓存。

问：临时缓解有什么办法？ 答：在解释器侧禁止缓存目录执行权限，并清掉既有缓存，能降低被利用的后果，但这属于减损而非修复，补丁可用后仍然要升级。

问：升级清单要看多久以内的记录？ 答：至少覆盖你当前部署版本发布之后的全部条目。停在很久以前的版本时，中间的修复可能同时涉及配置变更，要按顺序把配置项一并核对。