国产建站系统公告修复远程抓图风险，未升级的站点先做什么

国产建站系统公告修复远程抓图带来的服务端请求风险，未升级的站点先要做什么？按顺序做三件事：先把后台权限与服务器出网范围收紧，再做一次可验证的备份，然后在低峰升级到修复版本，升级后清缓存并核对伪静态规则。等自动更新不是处置动作，这类风险的触发点在一个编辑器功能上，只要有后台账号能用，就可以被反复尝试。

风险出在哪个功能上

公告指向的是编辑器的”远程抓图”：在正文里粘贴一个外部图片地址，编辑器会代替服务器去把图片取回来，存到本站附件目录。这个功能本身是为了搬运内容方便，问题在于”由服务端去取一个用户提供的地址”这一动作。

服务端发起请求时，它处在内网位置，而内网地址通常不对公网开放。如果目标地址不做限制，把图片地址写成一个内网地址或本机服务地址，就能借服务器之手去访问本该只有内部才能访问的端口与接口。这类用法在漏洞分类里叫服务端请求伪造，它本身不直接改写数据，但常被用来探测内网、读取内部服务返回的内容。

同一功能还有两个附带风险：不设大小与超时上限时，取一张超大图片会长时间占用连接，构成拒绝服务式的消耗；不做来源校验时，返回内容被写进附件目录，后续还要看文件类型限制是否够严。

公告给了哪些修复项

修复版本 V3.2.25 的处理是把这几层一次补上：给远程抓图加连接超时，限制取回内容的大小上限，加入域名重绑定防护，并拦截指向内网段的地址；同时新增可信代理配置，让站点在位于代理之后时能正确判断真实来源。

其中容易被忽略的是可信代理这一项。站点常见部署形态是前面还有一层反向代理或防火墙，服务端看到的来源地址是代理地址而不是访客地址，不做配置时，访问日志与频率限制都会把所有请求记到同一个来源上，防护判断随之失效。公告把这项与内网地址拦截放在一起，正是针对这类部署。

官方同时给出升级前后的动作建议：升级前备份网站文件、数据库与自定义模板，升级后清理系统缓存并核对伪静态。

未升级时的临时处置

无法立刻升级时，处置目标是把”借服务器取内网地址”这条路径堵住，按效果从强到弱排列。

第一步是收权限。远程抓图入口只在后台可用，把后台账号收敛到必要人员，开启二次验证，清理长期未使用的账号，风险面会显著缩小。第二步是限制出网。在主机或网络层禁止站点进程访问内网段与本机监听端口，只放行确实需要的外部地址；这一步直接抵消了未拦截内网地址的问题。第三步是收紧可执行入口。伪静态与站点目录的执行权限要核对，附件目录不应能执行脚本，避免取回的文件被进一步利用。第四步是加强监控，重点看后台登录来源、异常大的出网请求与附件目录的写入记录。

这些都属于过渡措施，不能替代升级。过渡配置一旦生效，还要确认它没有把正常功能一起挡住，例如确实需要引用的外部图片服务。

升级完成后还要核对什么

按官方建议，升级之后先清理系统缓存，再核对伪静态规则，避免新旧规则混用导致部分地址异常。核对要覆盖三类地址：列表与详情页、分类与标签页、以及带排序或分页参数的地址，最后一类最容易在规则变更后失效。

再往下是恢复位与部署层的确认。备份要在升级前完成，并且验证能恢复出来——升级失败时能回退到升级前状态，比事后重建更省事；用宝塔面板或 Docker 部署的站点，还要确认容器或站点目录里的配置文件没有被升级脚本覆盖，尤其是自定义模板与出网限制这两处。

AnQiCMS 在这两层的做法可以直接对照：数据与静态文件的备份恢复由后台统一管理，伪静态规则可自定义且与地址生成逻辑一致，部署走 Docker 镜像或面板一键方式，升级前后按同一套核对流程走即可。

最后补一项配置核对：如果站点在代理之后，确认来源判断的配置已按新的可信代理规则更新，否则访问日志与频率限制仍然记错来源，等于修复了一个问题、留下了另一个。

常见问题

没有用远程抓图功能，还要不要升级？ 要。该入口只要存在就可被尝试，是否使用不影响风险面；升级同时也会带上其他修复项。

限制出网会不会影响正常采集？ 会，需要按实际使用的图片源与接口做白名单，先在小流量环境验证再全量启用。

升级后前台地址出现异常先查什么？ 先清缓存，再核对伪静态规则与带参数的地址，两类问题合起来覆盖多数异常情形。