更新日志

3.9.6

发布时间：2026-11-05

升级日志

JeecgBoot V3.9.6 是一次以安全为核心的综合升级：集中修复 67 项安全漏洞，给大量敏感接口补齐权限控制，加强登录、短信、租户隔离和内部接口防护；AI 流程编排新增图像生成节点，Online 表单新增积木报表打印生成、导入增强批量钩子等能力；代码生成器、字典、角色授权、部门管理等模块同步修复和优化，进一步提升系统的安全性、稳定性和易用性。

一、安全与漏洞专项

本版本集中处理 67 项安全漏洞（GitHub Security Advisories），覆盖越权访问、租户隔离、登录爆破、短信轰炸、SQL 注入、SSRF、XSS 及远程代码执行等风险。

• 填值规则、校验规则、字典、首页配置、部门权限、数据规则、网关路由、系统监控、第三方集成配置及各模块 Excel 导入导出等接口补齐权限校验，普通登录用户不能再越权操作。
• 用户列表增加「选人」权限控制，没有用户管理权限时，手机号、邮箱等隐私字段一律隐藏。
• 多租户模式下用户查询只返回本租户数据；批量修改用户、设置部门负责人、租户拥有者变更等操作只允许管理员或本租户管理员执行，防止租户被接管。
• 账号不存在和密码错误统一提示并计入失败次数；重置密码短信验证码错满 5 次作废；短信接口按手机号限流；登录图形验证码一次一用并默认开启；扫码登录二维码编号改为不可预测的随机串。
• 第三方登录回调跳转地址加白名单，防止 token 外泄，并修复反射型 XSS。
• /sys/api、/airag/api、/online/api 等内部服务接口禁止外部直接访问，单体和微服务网关同步拦截；OPTIONS 预检请求不再能绕过签名和授权校验。
• 加固表字典查询和字典过滤条件，防止越权读表和 SQL 注入；数据源连接拦截危险驱动和参数；接口和 Excel 导出不再返回数据库密码。
• SSRF 防护补全跳转绕过、0.0.0.0 和 IPv6 本机地址的拦截，新增内网地址开关和白名单配置。
• 修复富文本过滤绕过和 Online 表单详情页的存储型 XSS。
• WebSocket 只能订阅自己的消息，消息详情和发送记录不能查看他人数据；actuator 监控端点只允许管理员访问，请求追踪记录脱敏。
• OpenAPI 签名校验拒绝空密钥，清空出厂演示凭据。
• AI 应用与外挂数据接口补齐权限；AI 语音、视频记录只能查看和删除自己的；AI 工具调用增加身份校验；AI 流程导入补齐权限，防止远程执行代码；MCP 命令执行前拦截危险字符。

二、AI 应用与 AI Flow

• AI 流程编排新增「图像生成」节点，可以通过文字描述或参考图生成图片。
• AI 应用新增图像生成能力；千问图片模型保留 qwen-image-3.0-pro 和 qwen-image-3.0，并标注文生图、图生图。
• AI 思考过程中显示工具调用，工具名称显示为流程名；生成内容时用户向上滚动不再被强制拉回底部。
• AI 流程接口拆分为独立接口，AI 依赖改为按需加载；修复 AI 模块集成 LiteFlow 后业务模块无法自定义表结构的问题。
• AI 聊天助手限流配置统一，配置为空或 0 时关闭对应限流。
• 修复智能体流程无法使用对话中上传的图片、本地 Ollama 模型调用报错、清空额外参数不生效、Docker 部署插件调用连接被拒绝等问题。

三、Online 表单与低代码

• Online 表单支持一键生成积木报表打印功能，生成后自动集成打印地址。
• 新增 Online 表单数据查询接口，供积木报表直接查询 Online 数据。
• Online 导入的 Java 增强新增导入前、导入后批量处理钩子，整批导入只取一次增强对象。
• 树表列表新增「生成测试数据」按钮，测试数据按根节点生成。
• 按钮按详情、编辑、新增权限分别显示，Tab 风格子表弹窗的新增按钮也按权限隐藏。
• popup 和 popup 字典编辑时回显已勾选项；字典配置弹窗增加关联记录和他表字段配置说明。
• 批量删除也会执行 JS 增强的删除前事件。
• 修复 popup 字典超过 10 个值翻译不出来、高级查询「不为空」无效、SQL Server 下 Online 报表加 where 条件报错、ERP 子表分页数据随主表整体提交、一对一子表列数设置不生效等问题。

四、代码生成器

• 修复一对多子表的 popup 字典、关联记录、分类字典树、自定义树没有生成的问题。
• 修复小数字段、高级查询 popup 字典和关联记录字典项没有生成的问题。
• 修复导出时 popup 字典和主子表组件没有翻译的问题。
• 修复移动端一对一子表没有铺满屏幕、原生表单出现两个滚动条的问题。

五、系统管理、性能与易用性

• 管理员修改字典后，其他用户刷新页面即可看到最新字典，字典没变时不重复加载。
• 角色授权、部门角色授权后立即生效，用户无需重新登录。
• 部门树加载提速，SQL Server 下表单办理页加载慢的问题明显改善。
• 租户套餐包菜单支持分配数据规则。
• 首页配置的用户和角色支持多选，并显示为名称。
• 部门导入导出支持机构简称；部门管理用户列表增加「移出」操作；我的部门用户列表支持按姓名模糊查询。
• 修复回收站字典仍可在表单上选择、已冻结用户可重复冻结、我的消息发布人未翻译、表字典分页回填字段错位等问题。
• 修复 HTTPS 反向代理下页面白屏、大屏 WebSocket 数据集无法连接等问题。
• 升级至积木报表、积木 BI 2.5.6.1。

六、升级须知

• 选人权限： 选人组件、通讯录等功能需要「标准权限 > 用户选择查询」权限。升级脚本已默认授权给管理员；其他角色需要在角色授权里勾选，授权后重新登录生效。
• 新增按钮权限： 升级脚本会把本版新增的按钮权限自动授权给已拥有对应菜单的角色，升级前能用的功能升级后照常可用。
• 微服务部署： 微服务模式默认未开启 flyway，请按版本顺序手工执行 flyway/sql/mysql 目录下 V3.9.5_1 ~ V3.9.5_4、V3.9.6_0 开头的升级脚本。
• OpenAPI： 内置演示 AK/SK 已清空，需在「OpenAPI 授权管理」重新生成后才能调用。
• 前端依赖： 前端需要 pnpm 10 及以上版本。

3.9.5

发布时间：2026-08-27

升级日志

JeecgBoot V3.9.5 是一次面向低代码、AI 应用、开放能力、安全性及性能体验的综合升级：Online 表单新增多数据源、外部填报及 Excel 图片导入等能力，代码生成器模板全面升级并支持更多前端 UI 组件；AI 应用与 AI Flow 在模型接入、知识库、流程编排、分享 Token 和访问限流方面得到显著增强；同时完善飞书集成、OpenAPI 日志统计与权限控制，升级 Oracle 驱动并优化 Java 启动及查询性能。此外，本版本围绕接口越权、敏感信息保护、XSS、SSRF、SQL 注入和脚本执行等风险开展专项漏洞治理，进一步提升系统的安全性、易用性和稳定性。

一、基础框架与数据库兼容

• 完成 Jackson 3、Tomcat 11 和 JDK 17 兼容适配，并升级 Oracle 驱动。
• 新增 Lettuce 支持并兼容 Lettuce、Jedis 灵活切换，优化 Redis 会话管理相关代码。
• 完善 MySQL、Oracle、PostgreSQL、SQL Server、达梦和 KingbaseES 多数据库兼容。
• 默认采用 lazy-initialization 启动，提高 Java 端启动速度。
• 修复升级 Tomcat 11 后 work 目录生成在项目目录的问题。

二、Online 表单与低代码

• Online 表单及 Online SQL 支持多数据源。
• Online 表单支持外部填报功能。
• AI 生成 Online 表单能力完善，支持模拟数据和数据库适配 SQL。
• Online 报表和图表支持 AI 生成与复制。
• Online 导入 Excel 支持图片方式，包括 embed 嵌入图片和 path 图片路径，并完善多图片、多文件导入及图片导出能力。
• 完善主子表、关联记录、Popup 字典及他表字段翻译能力。
• VXETable 子表支持 Popup 字典。
• Popup 字典新增 Input 显示模式。
• 完善一对多内部弹窗 JS、子表按钮权限、子表弹窗及附件上传能力。
• 完善一对一子表控件能力。
• 数据权限配置支持字典、日期、部门等字段控件。
• 完善高级查询、多选查询、关联记录查询和 Long 类型字段范围查询。
• 增加 Online 控件分组、公共表单联动组件及周、季度日期类型支持。
• 简化 Online 配置界面，降低配置复杂度，提升使用效率。
• 优化 Online 权限配置的搜索、全选和快速开关。
• 修复 Online 树表子记录层级、JS 增强编辑及查询规则等关键问题，提升表单运行稳定性。
• 加强 Online 报表、图表及排序参数的 SQL 安全校验。

三、代码生成器与前端组件

• 代码生成器模板大升级，支持生成更多前端 UI 组件。
• 新增 Popup 字典、关联记录等组件的代码生成支持。
• 关联记录组件支持全部数据表。
• TinyMCE 支持插入视频，JVxeTable 支持分组选择。
• 扩展表单权限规则值组件，增加通用 HTML 白名单净化工具。
• 修复动态表单 Schema 更新和上传组件必填校验问题。

四、AI 应用、RAG 与 AI Flow

• AI 应用模块大升级，支持应用复制、流程工具封装、插件管理、智能识别和图文混合生成。
• AI 应用支持分享 Token，并增加限流功能，防止恶意请求消耗 AI Token。
• 修复 JeecgBizToolsProvider 业务工具权限检查始终不通过的问题，保障 AI 应用正常调用业务工具。
• 优化 AI 应用知识库、记忆库、MCP 搜索、网页抓取及模型异常提示。
• 优化 AI 会话与流程运行稳定性，修复会话闲置后首次提问卡顿、停止输出报错、子流程参数及结果传递异常、MCP 调用后无法继续对话等问题。
• AI Flow 新增当前登录用户信息节点，知识库写入节点支持文件写入。
• AI Flow 脚本节点支持 AI 辅助编写脚本，SQL 节点增强变量绑定和多条件查询能力。
• 完善 AI Flow 子流程、入参、出参、变量提取、变量聚合及节点分组能力。
• 优化 AI Flow 循环节点调试和流程文件上传交互。
• AI 模型接入能力升级：更新 DeepSeek、智谱等平台支持的模型版本号，新增火山方舟接入，并完善通义千问、Kimi、MiniMax 和 GPT Image 2 等模型支持；同时增加 AI 模型复制功能。
• 修复千帆大模型接入问题，完善图片模型、MCP 和 Tool Calling 兼容性。
• 优化 AI 联网搜索的时效性及模型兼容性。
• 增加 AI 提示词回收站、彻底删除和 AI 库表 Schema 维护能力。

五、OpenAPI 与第三方集成

• 升级至最新版积木报表和积木 BI 大屏，完善报表及数据可视化能力。
• OpenAPI 功能完善，新增调用日志统计、日志详情、Header 展示和细粒度权限控制。
• OpenAPI 支持达梦数据库，完善微服务 Nginx 部署访问及 Docker 场景下独立后端自代理地址适配。
• 飞书支持消息发送、组织同步、第三方登录和配置管理。
• 钉钉、企业微信、飞书和短信支持异步发送。
• 修复未启用租户时企业微信 OAuth2 登录回调异常。
• 完善 CAS 登录回跳适配。

六、系统管理、性能与易用性

• 增加三级等保密码级别开关及密码复杂度配置。
• 优化用户、部门、岗位和租户数据管理。
• 优化用户及部门查询性能，减少重复查询和 N+1 查询。
• 页面默认采用模糊搜索，并优化弹窗高度自适应等交互体验。
• 修复前端字典刷新及字典选择组件多选回显问题。
• 优化审批角色分组用户展示及部门树搜索层级保留。

七、安全与漏洞专项

本次主干集中处理权限绕过、越权访问、敏感信息泄露、SQL 注入、远程代码执行、SSRF 及存储型/DOM 型 XSS 等安全风险，已确认涉及 CVE-2026-5616、CVE-2026-8195、CVE-2026-9579、CVE-2026-9580、CVE-2026-9581、CVE-2026-9604、CVE-2026-10239、CVE-2026-10240、CVE-2026-11464、CVE-2026-19000、CVE-2026-67925、CVE-2026-67926 等公开漏洞；同时将 Apache Shiro 从 2.0.5 升级至 3.0.0、shiro-redis 从 3.2.3 升级至 4.1.0，纳入上游安全修复并强化路径匹配、会话及 Cookie 安全。积木报表未授权导出问题对应 CVE-2026-58375，相关修复将在积木报表后续版本中生效。

• 开展 AI 应用专项漏洞处理，强化模型、知识库、应用及匿名分享接口的鉴权。
• 为更多敏感功能接口增加默认权限注解，加强积木报表导出、用户回收站和 AI 聊天等接口的权限控制。
• 修复用户、部门、评论、校验规则、OpenAPI 及 BI 数据接口的越权和跨租户访问问题。
• 加强 LLM API Key 等敏感凭证的权限控制和脱敏处理。
• 加强数据源配置密码安全，接口不再返回明文密码。
• 修复 AI Flow 脚本节点远程代码执行风险。
• 修复 AI、OpenAPI、远程文件及图片处理相关 SSRF 风险。
• 加强富文本、Markdown、评论、Online 表单、AI 对话、SVG 文件上传及通知公告的 XSS 防护。
• 修复 SQL 注入检测绕过及 Online 报表 SQL 注入风险。
• 加强 Online 报表字典查询权限校验。
• 加强匿名 AI 聊天及远程文件访问控制。
• 修复 Excel 导入错误提示中的 HTML 注入风险。

3.9.3

发布时间：2026-08-20

升级日志

重要升级：后端全面适配 Spring Boot 4，前端最终升级至 Vite 8，并同步升级 Pinia 3、Vue Router 5、Shiro 3.0、MyBatis-Plus 3.5.16、Nacos 3.2.2、XXL-JOB 3.4.2 等核心依赖；AI 低代码迈入 2.0 阶 段，支持自然语言生成系统、表单、流程、报表和大屏，同时发布 JimuChatBI 1.0；此外，还完成了积木报表、Docker 微服务启动、数据库初始化性能及前端重依赖加载优化，并修复多选回显、PopupDict、AI 调用、JS 增强和存储型 SSRF 漏洞等问题，进一步提升了系统的安全性、稳定性与开发体验。

架构与依赖升级

• 后端架构升级至 Spring Boot 4，完成相关兼容性适配。
• 前端构建工具最终升级至 Vite 8，主题插件迁移至本地。
• 升级 Pinia 3、Vue Router 5。
• 升级 Jeecg Starter 至 3.9.4。
• 升级 Shiro 至 3.0.0，并适配新版 shiro-redis。
• 升级 MyBatis-Plus 至 3.5.16、Druid 等基础依赖。
• 升级 XXL-JOB 至 3.4.2。
• 升级 Sentinel Dashboard 至 1.8.10。
• 升级 Nacos 至 3.2.2，新增管理端口配置。
• 升级 LangChain4j 至 1.17.2。
• 升级 Apache Tika、CommonMark、AutoPoi、Commons IO、MinIO 等依赖。
• 移除 lodash，统一使用 lodash-es。
• 升级积木报表及大屏组件，兼容 Spring Boot 4，并支持新版 AI 助手。

AI 与低代码能力

• 低代码 AI 能力升级至 2.0，支持通过自然语言生成系统、表单、流程、报表及大屏。
• 发布 JimuChatBI 1.0，提供开源对话式 Chat2BI 智能问数能力。
• 提供适配 Spring Boot 4 的 AI Flow。
• 默认 AI 模型调整为 DeepSeek V4 Pro。
• 修复 DeepSeek V4 Flash 联网搜索后的模型调用异常。
• 修复 AI 聊天对接业务操作不可用的问题。
• 修复 AI 流程设计页面无法正常显示的问题。

功能修复

• 修复系统用户职务多选回显为 1,2,3 的问题（#9420）。
• 修复 PopupDict 组件二次打开时未正确勾选的问题。
• 修复 updateSchema 中函数重复执行的问题（#9612）。
• 修复 JS 增强代码配置错误后导致页面异常的问题（#9699）。
• 修复 Docker 启动时默认AI模型配置导致的报错（#9635）。
• 修复前端启动时无法解析 tinycolor2 的问题（#9698）。
• 修复 Vite 8 开发环境首次访问 Tinymce、ECharts、VXE-Table 等重依赖页面时白屏及加载缓慢的问题（#9782）。
• 消除 Vite 8 开发服务器启动时的兼容性警告。
• 修复 Spring Boot 4 升级后的 Swagger、单元测试、Redis 依赖冲突等兼容问题。

安全修复

• 修复 WordUtil.addImage 存储型 SSRF 漏洞（CWE-918）。

部署与性能优化

• 提供微服务快速启动脚本。
• 优化 Docker 微服务启动流程，网关等待 Nacos 就绪后再启动。
• 调整 Nacos Console 与 Web 启动顺序，并完善管理端口暴露。
• 优化单体前端 Nginx 配置，支持通过 Docker 内置 DNS 动态解析后端地址。
• 优化数据库首次初始化，采用批量提交并减少无效日志，提高初始化速度。
• 修复初始化耗时较长时网关及前端无法访问服务实例的问题。
• 优化端口配置，降低 Docker 环境下的端口冲突风险。

以上为最近 3 个版本，完整历史版本请查看 JeecgBoot 更新日志。