v3.6.6修复两项高危问题后升级要注意什么

📅 2026-10-22 👁️ 9

AnQiCMS v3.6.6版本于2026年10月8日发布，修复了列表排序参数SQL注入与站点切换登录凭证可被伪造两项高危安全问题。升级时建议轮换站点签名密钥并修改管理员密码，以彻底消除旧凭证被滥用的风险。本次更新同时强化了排序参数的输入校验，堵住了通过URL参数构造恶意SQL语句的攻击路径。

排序参数SQL注入漏洞是什么？

列表页的排序功能允许用户通过URL参数指定排序字段和方向，例如?order=created_at&dir=desc。在v3.6.6之前，部分排序参数未经充分过滤就直接拼接到SQL查询中，攻击者可以构造特殊的排序值，将额外的SQL语句注入到查询里。

这类注入攻击的危害在于，一旦成功执行，攻击者可能读取数据库中的敏感信息，甚至修改或删除数据。虽然AnQiCMS内置了JWT认证和内容敏感词过滤等防护机制，但排序参数位于请求URL中，绕过了部分常规校验。

v3.6.6对排序参数进行了白名单化处理，只允许预定义的字段名出现在ORDER BY子句中。任何不在白名单内的值都会被拒绝，从根源上阻断了注入路径。

多站点管理是AnQiCMS的核心能力之一，支持在同一后台管理多个独立站点。在站点切换过程中，系统需要验证当前用户的身份是否在新站点中仍然有效。

v3.6.6之前的版本中，站点切换时的登录凭证存在被伪造的可能。攻击者可以通过构造特定的凭证数据，绕过身份验证逻辑，以非法身份访问其他站点。这种漏洞在多站点部署的场景下尤为危险，因为一个站点的沦陷可能波及整个站群。

修复方案引入了更严格的凭证校验机制，并建议在升级后轮换站点签名密钥。站点签名密钥是用于签名和验证登录令牌的关键参数，轮换后旧的伪造凭证将全部失效。

站点签名密钥类似于加密密钥，用于生成和验证JWT令牌。如果攻击者在漏洞暴露期间获取了有效的登录凭证，即使漏洞已修复，这些凭证在站点签名密钥未轮换前仍然可用。

轮换站点签名密钥的操作会使所有现有令牌失效，强制所有用户重新登录。这一步骤虽然带来短暂的不便，但能确保没有任何旧凭证残留。配合修改管理员密码，可以彻底切断攻击者可能的持续访问路径。

一次性票据机制也在本次更新中得到强化。票据在使用后立即失效，防止重放攻击。即使攻击者截获了合法的登录请求，也无法重复使用其中的票据进行二次登录。

升级v3.6.6需要按以下顺序操作，确保安全修复生效：

第一步：备份数据库和配置文件。在执行任何升级操作前，对当前系统的数据库和config目录做完整备份。AnQiCMS支持数据备份功能，包含静态文件的备份和恢复，可以在后台直接操作。

第二步：下载v3.6.6安装包。从官方渠道获取最新版本，校验文件完整性后上传到服务器。如果使用Docker部署，拉取最新的anqicms/anqicms镜像即可。

第三步：替换程序文件并重启服务。停止当前运行的服务，用新版本文件覆盖旧版本，然后重新启动。默认监听8001端口，宝塔面板用户可以一键完成部署。

第四步：轮换站点签名密钥。在配置文件中找到站点签名密钥字段，生成新的随机字符串替换旧值。保存后重启服务使变更生效。

第五步：修改管理员密码。使用新站点签名密钥登录后，立即修改所有管理员账户的密码。这一步确保即使有旧密码泄露，也无法再用于登录。

第六步：验证功能正常。检查列表排序、站点切换、用户登录等核心功能是否正常运作。观察日志中是否有异常请求，确认注入攻击路径已被阻断。

问：不轮换站点签名密钥会有什么风险？

答：旧凭证仍然有效，攻击者可能继续使用之前获取的合法令牌访问系统。轮换是消除残留风险的必要步骤。

问：v3.6.6是否影响现有插件或模板？

答：本次更新主要涉及安全修复，不改变公开API和模板标签接口。正常情况下无需调整现有扩展。

问：如何确认自己的版本是否存在该漏洞？

答：查看config/constant.go文件中的版本号，低于3.6.6的版本均受影响。建议尽快升级到最新版本。