后端協(xié)同辦公WebSocket前端富文本【免費(fèi)下載鏈接】etherpadEtherpad: A modern really-real-time collaborative document editor.項(xiàng)目地址https://gitcode.com/gh_mirrors/et/etherpad點(diǎn)擊查看免費(fèi)下載導(dǎo)讀Etherpad 是一款現(xiàn)代實(shí)時(shí)協(xié)同文檔編輯器倉(cāng)庫(kù)位于gh_mirrors/et/etherpad當(dāng)前src/package.json標(biāo)記版本為 3.3.5。本文以倉(cāng)庫(kù)根目錄的 CHANGELOG.md 為骨架系統(tǒng)梳理從 v1.0.1 到 v3.3.6 的全部演進(jìn)主線3.x 時(shí)代以安全加固與自更新能力為主軸輔以 Node.js/TypeScript/pnpm 等工程現(xiàn)代化。讀完本文你將能理解 Etherpad 各版本安全通告GHSA/CVE背后的具體漏洞原理與修復(fù)方式掌握updates.*、mail.*、privacy.*等關(guān)鍵配置塊的參數(shù)含義與默認(rèn)值以及了解 Docker/.deb/Snap 打包、數(shù)據(jù)庫(kù)驅(qū)動(dòng)與 API 表面的演進(jìn)脈絡(luò)為升級(jí)決策與運(yùn)維排障提供依據(jù)。版本全景與更新節(jié)奏CHANGELOG 完整記錄了 Etherpad 自 v1.0.1 至今的發(fā)布?xì)v史呈現(xiàn)出一條清晰的主線早期的功能鋪陳v1.x→ 中期的基礎(chǔ)設(shè)施重寫v2.x→ 3.x 的安全與自治能力建設(shè)。版本區(qū)間核心主題代表性能力v1.0 – v1.2功能奠基插件框架、i18n、保存修訂、只讀實(shí)時(shí)視圖、HTTP APIv1.3 – v1.8生態(tài)建設(shè)語(yǔ)義化版本、皮膚系統(tǒng)、LibreOffice 導(dǎo)入導(dǎo)出、Docker 官方鏡像、環(huán)境變量配置、async/await遷移v2.0 – v2.7工程現(xiàn)代化TypeScript 化、pnpm 工作區(qū)、React 管理后臺(tái)、OAuth2/OIDC、會(huì)話遷移、GDPR 控制、自更新 Tier 1、Snap/.deb 打包v3.0 – v3.3安全與自治自更新 Tier 2–4、大規(guī)模安全加固、JSONC 設(shè)置編輯器、原生 DOCX 導(dǎo)出、反向代理子路徑支持、tsgo/TypeScript 7 構(gòu)建值得注意的細(xì)節(jié)是CHANGELOG 頂部已記錄3.3.6的插件配置回讀修復(fù)settings.ep_plugin配置塊在require()路徑下不可見(jiàn)的問(wèn)題而src/package.json中的版本號(hào)為 3.3.5說(shuō)明 changelog 往往領(lǐng)先于版本號(hào)發(fā)布閱讀時(shí)建議以 package.json 中version字段與實(shí)際發(fā)布 tag 為準(zhǔn)。3.x 安全加固主線從 GHSA 通告到源碼級(jí)修復(fù)3.x 系列被稱為primarily a security-hardening release。CHANGELOG 中的每一條安全修復(fù)都附帶 GHSA/CVE 編號(hào)且描述精確到具體的源碼模塊是理解 Etherpad 攻擊面最好的材料。/static/*預(yù)認(rèn)證路徑穿越與任意文件讀取GHSA-mc8w-wjhw-45x53.3.3這是 3.3.3 修復(fù)的一個(gè)critical 級(jí)別、無(wú)需認(rèn)證的任意文件讀取漏洞根因POSIX 系統(tǒng)上反斜杠是普通文件名字節(jié)sanitizePathname.ts 會(huì)刻意放過(guò)..\..\..段但 Minify.ts 隨后無(wú)條件把反斜杠轉(zhuǎn)成斜杠在凈化器之后重新引入../遍歷成分且沒(méi)有二次檢查。利用鏈該路由掛在expressPreSession上早于認(rèn)證中間件任何匿名客戶端可GET /static/plugins/ep_etherpad-lite/static/..%5C..%5C..%5Cetc/passwd讀取進(jìn)程可讀的任何文件進(jìn)一步通過(guò)泄露的settings.json/credentials.json//proc/self/environ提升為管理員會(huì)話并經(jīng)插件安裝器升級(jí)為 RCE。修復(fù)反斜杠轉(zhuǎn)換現(xiàn)在僅限 Windowspath.sep \\與sanitizePathname.ts已強(qiáng)制的不變式保持一致并新增了在修復(fù)前代碼上會(huì)失敗的回歸測(cè)試。createDiffHTML輸出中的存儲(chǔ)型 XSSGHSA-6vx2-3gwr-958v3.3.4根因getHTMLFromAtext將作者顏色直接放進(jìn)style塊、把作者 ID 放進(jìn) CSS 選擇器和span class屬性全程無(wú)轉(zhuǎn)義。任何能導(dǎo)入.etherpad文件的人默認(rèn)匿名即可都能植入精心構(gòu)造的colorId或作者 ID使createDiffHTML輸出攜帶腳本流入所有渲染它的集成方。修復(fù)導(dǎo)出只發(fā)射#rgb/#rrggbb顏色作者類名限制為[A-Za-z0-9_-].etherpad導(dǎo)入時(shí)用調(diào)色板顏色替換畸形colorId與實(shí)時(shí) socket 校驗(yàn)保持一致并補(bǔ)了后端回歸測(cè)試。認(rèn)證與會(huì)話類漏洞3.3.33.3.3 一次性合入了一批私有報(bào)告的修復(fù)全部屬于認(rèn)證/會(huì)話邊界會(huì)話固定GHSA-73h9-c5xp-gfg4Etherpad 之前不在用戶認(rèn)證時(shí)輪換會(huì)話 ID攻擊者可先固定一個(gè)預(yù)認(rèn)證 session id最典型的注入面是ep_openid_connectSSO在登錄后劫持會(huì)話。現(xiàn)在在認(rèn)證邊界重新生成會(huì)話 ID。同 socket 跨 pad 寫入 TOCTOUGHSA-6mcx-x5h6-rpw2同一 socket 上的CLIENT_READYpad 切換可能把已排隊(duì)待處理的USER_CHANGES重定向到另一個(gè)只讀或未授權(quán)的pad?，F(xiàn)在排隊(duì)中的變更被綁定到其入隊(duì)時(shí)的 pad。copyPad/movePad目標(biāo) ID 分隔符注入GHSA-wg58-mhwv-35pq目標(biāo) ID 中含 ueberdb 鍵分隔符:時(shí)可繞過(guò)forcefalse覆蓋保護(hù)并破壞其他 pad 的修訂記錄現(xiàn)在此類 ID 被拒絕。OIDC 硬編碼 cookie 密鑰與 CORS 任意回顯GHSA-pp5v-mvwg-76mp內(nèi)置 OIDC provider 不再攜帶硬編碼簽名密鑰改為從實(shí)例密鑰派生clientBasedCORS的回顯被約束回顯x-proxy-path的公共路由補(bǔ)上Vary頭防緩存投毒。編輯器側(cè)的 XSS 與導(dǎo)出加固編號(hào)列表start屬性 XSSGHSA-f7h5-v9hm-548j3.3.1構(gòu)造的ol start值未經(jīng)轉(zhuǎn)義流入 domline.ts與 3.3.0 的導(dǎo)出路徑修復(fù)是不同 sink現(xiàn)在在進(jìn)入 DOM 前做整數(shù)強(qiáng)制與 HTML 轉(zhuǎn)義并新增 jsdom 回歸測(cè)試。data-*導(dǎo)出屬性轉(zhuǎn)義與默認(rèn)憑據(jù)告警3.3.0ExportHtml.ts 現(xiàn)在對(duì)exportHtmlAdditionalTagsWithDatahook 發(fā)射的屬性名與值做轉(zhuǎn)義Settings.ts 在檢測(cè)到賬號(hào)使用出廠默認(rèn)/占位密碼時(shí)記錄告警NODE_ENVproduction下為 error 級(jí)并擴(kuò)展到sso.clients[].client_secret。只讀刪除漏洞3.3.2在allowPadDeletionByAllUsers開(kāi)啟時(shí)只讀訪問(wèn)者曾被授予canDeletePadtrue且服務(wù)端flagOk/creatorOk分支從未檢查session.readonly——持有只讀鏈接的人可以無(wú)令牌刪除 pad。修復(fù)后只讀會(huì)話被同時(shí)從客戶端變量與服務(wù)端無(wú)令牌授權(quán)路徑中排除。依賴層面的安全 pin3.3.2opentelemetry/core ≥ 2.8.0GHSA-8988-4f7v-96qf / CVE-2026-54285經(jīng)elastic/elasticsearch → elastic/transport帶入的傳遞依賴對(duì)入站 baggage 頭不設(shè) W3C 大小限制可導(dǎo)致無(wú)界內(nèi)存分配通過(guò) pnpm-workspace.yaml override 固定。一批 Dependabot 告警通過(guò)pnpm-workspaceoverrides 封頂form-data ≥ 4.0.6、ws ≥ 8.21.0、esbuild ≥ 0.28.1、basic-ftp ≥ 5.3.1封6.0.0避免插件安裝路徑上的意外大版本、tar ≥ 7.5.16、js-yaml ≥ 4.2.0、qs ≥ 6.15.2、ip-address ≥ 10.1.1、babel/core ≥ 7.29.6。自更新子系統(tǒng)Tier 1 到 Tier 4 的完整設(shè)計(jì)自更新是 2.7.3 起持續(xù)建設(shè)的核心能力CHANGELOG 完整記錄了四個(gè)層級(jí)的落地節(jié)奏完整配置說(shuō)明見(jiàn) doc/admin/updates.md。層級(jí)演進(jìn)Tier 12.7.3notify周期性向 GitHub Releases API 檢查配置倉(cāng)庫(kù)默認(rèn)ether/etherpad管理員看到橫幅與專屬更新頁(yè)當(dāng)前版本、最新版本、安裝方式、changelogpad 用戶僅在版本嚴(yán)重過(guò)期或標(biāo)記為 vulnerable 時(shí)看到頁(yè)腳徽章且該公開(kāi)端點(diǎn)不泄露版本字符串本身。可設(shè)adminEmail讓更新器在首次檢測(cè)到嚴(yán)重/脆弱狀態(tài)時(shí)發(fā)郵件每周升級(jí)節(jié)奏、每月嚴(yán)重過(guò)期節(jié)奏去重節(jié)奏邏輯在 Tier 1 落地真實(shí) SMTP 在后續(xù)版本落地。Tier 23.0.0manualgit 安裝的管理員可在/admin/update點(diǎn)擊Apply update。流程為 60 秒會(huì)話排空向每個(gè) pad 廣播 T-60/T-30/T-10、git fetch / checkout / pnpm install --frozen-lockfile / pnpm run build:ui然后以退出碼 75 結(jié)束由進(jìn)程監(jiān)督器systemd/pm2/docker--restartunless-stopped在必須存在的前提下拉起新版本。下次啟動(dòng)執(zhí)行 60 秒健康檢查/health起不來(lái)則自動(dòng)恢復(fù)上一 SHA 與 lockfile。崩潰循環(huán)守衛(wèi)新版本在健康檢查完成前重啟超過(guò)兩次RollbackHandler 強(qiáng)制回滾。Tier 33.0.0auto設(shè)updates.tier: auto后新版本在preApplyGraceMinutes后自動(dòng)應(yīng)用寬限期內(nèi)/admin/update顯示實(shí)時(shí)倒計(jì)時(shí)與 Cancel/Apply now 按鈕。調(diào)度持久化到var/update-state.json重啟可恢復(fù)adminEmail設(shè)置時(shí)每個(gè)調(diào)度 tag 發(fā)一次grace-start一次性通知。Tier 43.0.0 設(shè)計(jì)、3.1.0 代碼落地autonomousupdates.tier: autonomous配合updates.maintenanceWindow將自治更新約束到夜間窗口。調(diào)度器在寬限期落在窗口外時(shí)把scheduledFor快進(jìn)到下一個(gè)窗口開(kāi)啟點(diǎn)支持跨午夜窗口end startDST 過(guò)渡由宿主墻鐘算術(shù)吸收。窗口缺失/畸形時(shí)策略降級(jí)為 Tier 3并給出顯式policy.reasonmaintenance-window-missing/maintenance-window-invalid管理員橫幅會(huì)提示該錯(cuò)誤配置。配置參數(shù)速查settings.json.template 中的updates塊約第 218 行起給出了全部可調(diào)參數(shù)與默認(rèn)值updates: { tier: ${UPDATES_TIER:notify}, source: github, channel: stable, installMethod: auto, checkIntervalHours: 6, githubRepo: ether/etherpad, requireAdminForStatus: false, preApplyGraceMinutes: 0, drainSeconds: 60, // ... 其余見(jiàn) settings.json.template }關(guān)鍵參數(shù)語(yǔ)義來(lái)自模板注釋preApplyGraceMinutes僅 Tier 3 生效范圍鉗制在[0, 7*24*60]一周默認(rèn) 0 即立即應(yīng)用drainSeconds是廣播重啟在即到退出的時(shí)長(zhǎng)rollbackHealthCheckSeconds是重啟后等待/health的窗口diskSpaceMinMB是預(yù)檢要求的空閑磁盤下限r(nóng)equireSignature/trustedKeysPath控制 tag 簽名驗(yàn)證默認(rèn)關(guān)閉鑰匙環(huán)配置見(jiàn) doc/admin/updates.mdmaintenanceWindow形狀為{start:HH:MM,end:HH:MM,tz:local|utc}end排他。3.1.0 的補(bǔ)充SMTP 郵件與 Node 引擎預(yù)檢真實(shí) SMTP新頂層mail.*塊取代之前的(would send email)樁。新設(shè)置mail.host、mail.port、mail.secure、mail.from、mail.auth.{user,pass}mail.hostnull保留舊的僅日志行為。nodemailer在首次發(fā)送時(shí)惰性導(dǎo)入未配置郵件的安裝零運(yùn)行成本傳輸對(duì)象按完整 SMTP 選項(xiàng)元組緩存reloadSettings()改變 host/port/憑據(jù)即失效。settings.json.docker 從環(huán)境變量讀取MAIL_HOST/MAIL_FROM/MAIL_PORT/MAIL_SECURE。Node 引擎預(yù)檢變更工作樹(shù)之前runPreflight執(zhí)行g(shù)it show tag:package.json并校驗(yàn)process.versions.node滿足目標(biāo)的engines.node不匹配則在preflight-failed干凈失敗detailtarget requires Node X, running Y無(wú)排空、無(wú)重啟、無(wú)回滾。該檢查在簽名驗(yàn)證之后運(yùn)行只信任已簽名的package.json。新增PreflightReason: node-engine-mismatch。郵件覆蓋范圍擴(kuò)大自動(dòng)恢復(fù)的失敗rolled-back-install-failed、rolled-back-build-failed、rolled-back-health-check、rolled-back-crash-loop與preflight-failed現(xiàn)在都以outcome:targetTag為去重鍵發(fā)一封郵件3 點(diǎn)的自治更新回滾不再等到下次登錄才可見(jiàn)。離線/氣隙部署3.2.0/3.3.2防火墻內(nèi)部署此前必須改鏡像內(nèi)的settings.json才能關(guān)閉出站調(diào)用。3.3.2 通過(guò)settings.json.docker與settings.json.template中的${ENV:default}替換把這些鍵全部環(huán)境變量化PRIVACY_UPDATE_CHECK、PRIVACY_PLUGIN_CATALOG、UPDATES_TIERoff 零出站調(diào)用、UPDATE_SERVER以及 Docker 專屬的UPDATES_SOURCE/UPDATES_CHANNEL/UPDATES_CHECK_INTERVAL_HOURS/UPDATES_GITHUB_REPO/UPDATES_REQUIRE_ADMIN_FOR_STATUS。doc/docker.md 新增Updates privacy章節(jié)后端測(cè)試會(huì)解析隨鏡像發(fā)布的配置并在${ENV}占位符被刪除時(shí)失敗。Pad 生命周期與 GDPR 數(shù)據(jù)控制刪除令牌deletion token機(jī)制2.2.6新增創(chuàng)建者刪除 pad能力設(shè)置菜單 → 確認(rèn)對(duì)話框 → 徹底擦除。3.3.4 修復(fù)movePad令牌丟失#7995movePad實(shí)現(xiàn)為copy()remove()但 Pad.ts 的Pad.copy()只復(fù)制pad:id、:revs:N、:chat:N記錄從不復(fù)制pad:id:deletionToken隨后remove()又刪掉了源 pad 的令牌——重命名后的 pad 完全沒(méi)有令牌創(chuàng)建者保存的令牌失效且因副本保留同一個(gè) revision-0 作者其下次訪問(wèn)會(huì)觸發(fā)createDeletionTokenIfAbsent()再次彈出保存你的刪除令牌彈窗。修復(fù)后令牌隨 move 移交目標(biāo)force覆蓋已有目標(biāo)會(huì)連同內(nèi)容一起丟棄該 pad 自己的令牌copyPad刻意保持不變——兩個(gè) pad 共享一個(gè)密鑰意味著為其中一個(gè)保存的令牌能刪除另一個(gè)。allowPadDeletionByAllUsers3.3.1/3.3.2該配置開(kāi)啟時(shí)客戶端不再鑄造刪除令牌也不彈確認(rèn)彈窗API.createPad返回null的deletionToken與 socket/UI 路徑對(duì)齊。3.3.2 進(jìn)一步細(xì)化創(chuàng)建者在擁有持久身份已認(rèn)證且有用戶名且部署通過(guò)getAuthorIdhook 將該身份釘扎到穩(wěn)定authorID時(shí)不再下發(fā)令牌——只有此時(shí)創(chuàng)建者才能在清 cookie/換設(shè)備后依然被識(shí)別令牌才冗余。canDeleteWithoutToken客戶端變量在無(wú)需令牌時(shí)隱藏整個(gè)令牌披露 UI無(wú)令牌的#delete-pad按鈕被移出enablePadWideSettings門控段、改為始終渲染默認(rèn)隱藏由canDeletePad變量驅(qū)動(dòng)與令牌披露互不依賴。作者擦除與隱私2.7.3 GDPR 系列pad 刪除控制、IP/隱私審計(jì)、作者令牌 cookie 改為HttpOnly移出 JS 可達(dá)范圍、可配置的首次訪問(wèn)隱私橫幅、以及作者擦除清除單個(gè)作者身份與貢獻(xiàn)的認(rèn)證路徑。3.0.0 管理 UI在/admin中可按 id 或名字查找作者并運(yùn)行確認(rèn)式擦除流程。系統(tǒng)作者過(guò)濾3.1.0Pad.SYSTEM_AUTHOR_IDa.etherpad-system是 HTTP API 無(wú)authorId調(diào)用setText、setHTML、appendText、服務(wù)端導(dǎo)入時(shí)的占位作者。它曾通過(guò)listAuthorsOfPad泄露使僅含 API 內(nèi)容的 pad 看起來(lái)多了一個(gè)真實(shí)作者現(xiàn)在僅在該 API 表面過(guò)濾getAllAuthors()及下游調(diào)用者copy、anonymize、atext 校驗(yàn)仍可見(jiàn)。遙測(cè)與出站調(diào)用3.0.0privacy.updateCheck默認(rèn)true置false關(guān)閉每小時(shí)向${updateServer}/info.json的請(qǐng)求與privacy.pluginCatalog默認(rèn)true置false關(guān)閉管理插件頁(yè)對(duì)${updateServer}/plugins.json的拉取CLI 按名安裝仍可用。倉(cāng)庫(kù)根 PRIVACY.md 記錄了兩次出站調(diào)用發(fā)送的內(nèi)容與關(guān)閉方式。/api-docs從帶 Scarf 遙測(cè)像素的swagger-ui-express遷移到 vendored 的 ScalarwithDefaultFonts: false、telemetry: false零出站調(diào)用。HTTP API 與 OpenAPI 表面的演進(jìn)OpenAPI 清理與類型安全客戶端3.0.0發(fā)布的 OpenAPI spec 面向下游代碼生成器做了清理去重 operationId、補(bǔ)全響應(yīng) schema、OpenAPI 3.1 的nullable→oneOf null遷移。管理端點(diǎn)/admin/*JSON API也被納入 OpenAPI 文檔管理 SPA 通過(guò)類型安全的 TanStack Query 客戶端調(diào)用admin/src/api/client.ts。/api-docs路由、OpenAPI 文檔與渲染輸出對(duì)下游消費(fèi)者保持不變。API 行為修正movePad3.3.4刪除令牌隨移動(dòng)移交見(jiàn)上文。listAuthorsOfPad3.1.0過(guò)濾系統(tǒng)作者。/api/version-status3.1.0接受可選?padIdid返回{outdated: minor | null, isFirstAuthor: boolean}severe/vulnerable枚舉值移除結(jié)果按(padId, authorId)緩存 60 秒。管理 OpenAPI 文檔注明這是公開(kāi)的 pad 側(cè)端點(diǎn)只因共享內(nèi)部路由注冊(cè)才出現(xiàn)在管理文檔中。API 健壯性3.0.0拒絕無(wú) author 屬性的USER_CHANGES插入關(guān)閉服務(wù)端信任缺口集成方簽發(fā)的sessionIDcookie 可標(biāo)記HttpOnlyappendChatMessage不再隱式創(chuàng)建 pad而是拋padID does not exist與其他內(nèi)容 API 方法一致。2.x 時(shí)代的 API 里程碑1.3.0 API 版本引入authorId可選參數(shù)appendText、copyPadWithoutHistory、createGroupPad、createPad、restoreRevision、setHTML、setText2.2.5 新增 RESTful API v2 與/api-docs2.1.0 重新引入APIKey.txt支持并可用authenticationMethod在 apikey 與 OAuth2.0 之間切換默認(rèn) OAuth22.0.2 支持用管理員用戶的 OAuth2 登錄 API。會(huì)話、令牌與密鑰2.6.0 會(huì)話遷移主頁(yè)齒輪圖標(biāo) → 復(fù)制代碼 → 第二臺(tái)瀏覽器Receive Session粘貼即可延續(xù)同一作者色繼續(xù)編輯同一 pad 不能同時(shí)存在兩個(gè)活動(dòng)會(huì)話。1.9.x 會(huì)話管理express_sidcookie 與sessionstorage:*記錄僅在requireAuthentication為 true 時(shí)創(chuàng)建登錄會(huì)話默認(rèn) 10 天有效express_sid簽名密鑰默認(rèn)每日輪換SESSIONKEY.txt在新版啟動(dòng)后可安全刪除。3.0.0 安全加固OAuth JWT 路徑先驗(yàn)簽再讀 claim、admin: true嚴(yán)格校驗(yàn)、apikey 比較改用crypto.timingSafeEqual導(dǎo)入/導(dǎo)出臨時(shí)文件路徑令牌由crypto.randomBytes(16)生成令牌傳輸記錄 5 分鐘 TTL 且單次使用響應(yīng)前從存儲(chǔ)刪除作者令牌只經(jīng)HttpOnlycookie 交付randomString改用crypto.getRandomValuesCSPRNG。工程現(xiàn)代化Node、TypeScript、pnpm 與構(gòu)建管線CHANGELOG 是觀察 Etherpad 技術(shù)棧演進(jìn)的權(quán)威時(shí)間線Node.js 底線1.8.8 → 10.17.01.9.5 → 182.7.3 → 22.133.0.0 → 24 LTSKrypton支持至約 2028 年 5 月Node 25 曾短暫作為底線又被回滾因其已于 2026-04-10 結(jié)束生命周期。CI 矩陣現(xiàn)覆蓋 Node 24 與 26。包管理器2.0.0 從 npm 6 遷移到 pnpmsymlink 依賴到全局目錄2.7.3 固定packageManager: pnpm11.1.23.3.5 中倉(cāng)庫(kù)、發(fā)布工具鏈、Docker 鏡像與 snap 全部遷移到pnpm 12pnpm ls --no-production標(biāo)志隨之改名為--no-prod新裝實(shí)例在 pnpm 12 下不再啟動(dòng)崩潰。TypeScript2.0.0 核心邏輯重寫為 TypeScript2.2.3 起進(jìn)一步推進(jìn)3.3.3 服務(wù)端構(gòu)建遷移到TypeScript 7tsgo原生 Go 編譯器。前端構(gòu)建2.2.2 用 esbuild 打包前端為單一 JS 文件移除 require kernel2.7.3 管理面板與 ui 工作區(qū)遷移到 Vite 8全部客戶端模塊轉(zhuǎn)為 ESM。依賴演進(jìn)3.0.0 數(shù)據(jù)庫(kù)驅(qū)動(dòng)ueberdb25 → 63.3.2 因 6.1.10 重寫緩存/緩沖層惰性.unref()flush 定時(shí)器導(dǎo)致空庫(kù)時(shí)事件循環(huán)無(wú)錨點(diǎn)、打包啟動(dòng)提前退出而 pin 到 6.1.132.7.3 后端 HTTP 客戶端從 axios 遷移到內(nèi)置fetch2.7.0 用 LibreOffice 替換 Abiword。打包與部署Docker1.8-beta.1 起內(nèi)置官方 Dockerfile2.7.3 鏡像移除curl/npm/npx消除傳遞 CVE健康檢查改用 busyboxwget運(yùn)行時(shí)包操作經(jīng) corepack 提供 pnpm3.0.0 入口不再經(jīng) pnpm避免每次重啟觸發(fā)deps-status重裝、共享 Corepack 緩存供非特權(quán)etherpad用戶解析 pnpm3.3.0 默認(rèn)要求顯式ADMIN_PASSWORD與數(shù)據(jù)庫(kù)密碼不再隱式回退、TRUST_PROXY默認(rèn)false3.3.2 修復(fù)plugin_packages卷掛載點(diǎn)只讀問(wèn)題。Debian/Snap2.7.3 引入 Snap 與 nfpm 構(gòu)建的 .deb帶 systemd 單元及簽名 apt 倉(cāng)庫(kù)3.0.0 .deb 依賴nodejs ( 24)且plugin_packages/保持在安裝根目錄內(nèi)使運(yùn)行時(shí)插件可解析ep_etherpad-lite。反向代理與子路徑支持3.2.0trustProxy: true下Etherpad 現(xiàn)在除了從請(qǐng)求路徑推斷前綴外還認(rèn)可X-Forwarded-PrefixTraefik/Spring 事實(shí)標(biāo)準(zhǔn)與X-Ingress-PathKubernetes Ingress。3.1.0 引入的共享 sanitizeProxyPath.ts縱深防御僅[A-Za-z0-9_./-]、//折疊、拒絕..遍歷被擴(kuò)展到新頭并一致應(yīng)用于/manifest.json、socialMeta的og:url/og:image與各 HTML 模板manifest 鏈接、jslicense 鏈接、重連 URL。順帶修復(fù)了pad.html/timeslider.html中既有的..段計(jì)數(shù)錯(cuò)誤深子路徑下 manifest 鏈接失效。新增端到端套件覆蓋trustProxytrue|false下兩種頭的前綴應(yīng)用/忽略矩陣settings.json.template 也補(bǔ)充了文檔。編輯器、歷史回放與可訪問(wèn)性3.x 的編輯器修復(fù)值得關(guān)注歷史模式timeslider回歸修復(fù)3.3.23.3.x 把 timeslider 內(nèi)嵌為 pad 內(nèi) iframe 后保存修訂的星標(biāo)仍畫在隱藏的 iframe#ui-slider-bar上表現(xiàn)為無(wú)效果。pad_mode.ts 現(xiàn)在把內(nèi)嵌滑塊的已保存修訂橋接到外層滑塊百分比定位、aria-hidden星標(biāo)、鼠標(biāo)點(diǎn)擊跳轉(zhuǎn)服務(wù)端SAVE_REVISION處理器向 pad 房間廣播NEW_SAVEDREV協(xié)作者保存的修訂能在已打開(kāi)的歷史滑塊上實(shí)時(shí)出現(xiàn)。編輯器視圖設(shè)置橋接3.3.0內(nèi)嵌 timeslider 現(xiàn)在尊重showAuthorshipColors、padFontFamily與行號(hào)nice-select.ts在 jQuery trigger 后派發(fā)原生change事件以觸發(fā)pad_mode.ts中基于addEventListener的橋接。URL 視圖參數(shù)競(jìng)態(tài)3.3.0?showLineNumbersfalse、?useMonospaceFonttrue等在padeditor.init競(jìng)態(tài)中被覆蓋修復(fù)泛化到全部三個(gè)參數(shù)并移入postAceInit。RTL 修復(fù)3.3.0每 pad 的 RTL 內(nèi)容選項(xiàng)此前寫到頂層document.documentElement翻轉(zhuǎn)整頁(yè)現(xiàn)在只作用于內(nèi)層編輯器文檔頁(yè)面方向仍由 UI 語(yǔ)言l10n.ts決定。暗色模式3.3.0服務(wù)端發(fā)射prefers-color-scheme作用域的theme-color對(duì) 阻塞式head腳本修復(fù) iOS 白色地址欄與加載時(shí)的白閃此前是先渲染淺色狀態(tài)再靠 JS 切暗。可訪問(wèn)性2.7.2/2.7.3/3.0.0 持續(xù)做對(duì)話框語(yǔ)義、焦點(diǎn)管理、跳轉(zhuǎn)鏈接、roletoolbar命名、表單控件本地化aria-label等3.0.0 移除innerdocbody上不再匹配真實(shí)語(yǔ)義的roletextbox/aria-multiline。導(dǎo)入導(dǎo)出3.0.0 新增基于html-to-docx的原生 DOCX 導(dǎo)出可選替代 LibreOffice 路徑2.7.0 起 DOCX/ODT/PDF 由 LibreOffice 負(fù)責(zé)ImportHtml.ts 等實(shí)現(xiàn)導(dǎo)入3.3.2 修正了導(dǎo)入對(duì)話框中過(guò)時(shí)的無(wú)轉(zhuǎn)換器提示——.txt/.html/.docx經(jīng) mammoth/.etherpad無(wú)需 LibreOffice只有.pdf/.odt/.doc/.rtf需要。運(yùn)維與可觀測(cè)性指標(biāo)1.8.8 起內(nèi)置 stats/metrics 引擎activePads、httpStartTime等2.5.1 提供 Prometheus 抓取端點(diǎn)/stats/prometheus需enableMetrics: true3.0.0 新增三個(gè)伸縮相關(guān)計(jì)數(shù)器pad_load_total、socket_connect_total、changeset_apply_total可直接驅(qū)動(dòng)水平伸縮決策。健康檢查1.9.0 新增/health端點(diǎn)遵循 IETF health check 草案Docker 用它做健康檢查避免認(rèn)證開(kāi)啟時(shí)的問(wèn)題與多余會(huì)話記錄。會(huì)話清理3.1.0 修復(fù)巨大 sessionstorage 表上的 OOM——清理從單個(gè)無(wú)界findKeys(sessionstorage:*)改為經(jīng) ueberdb2 6.1.0 新findKeysPagedAPI 每 500 鍵一頁(yè)分頁(yè)處理單輪上限 10 分鐘DB.init()在缺少必需包裝方法時(shí)快速失敗。限流與導(dǎo)入安全1.8.3 增加導(dǎo)入導(dǎo)出限流、未貢獻(xiàn)者禁止導(dǎo)入、最大導(dǎo)入大小配置1.9.3 起importExportRateLimiting的max: 0語(yǔ)義為始終觸發(fā)需設(shè)為期望值。配置回讀修復(fù)3.3.6changelog 頂部條目插件通過(guò)require(ep_etherpad-lite/node/utils/Settings)讀取settings.json中的頂層ep_*塊。此前Settings.ts的 CJS 兼容 shim 在模塊求值期間就給module.exports安裝訪問(wèn)器屬性而ep_*塊要等同模塊底部的reloadSettings()才合并——于是require()路徑對(duì)每個(gè)插件配置塊都不可見(jiàn)值只能在.default下取到插件靜默回退到內(nèi)置默認(rèn)值。對(duì)ep_hash_auth這意味著hash_dir回退到/var/etherpad/users、哈希查找全部失敗、管理員登錄返回?zé)o可用診斷的 401。修復(fù)是每次設(shè)置加載后重跑 shim。結(jié)語(yǔ)如何用 CHANGELOG 指導(dǎo)升級(jí)決策這份 CHANGELOG 的價(jià)值遠(yuǎn)超變更記錄它把安全通告GHSA/CVE、源碼模塊路徑、配置參數(shù)、回歸測(cè)試與修復(fù)原因一一對(duì)應(yīng)。升級(jí)時(shí)建議按此清單評(píng)估安全面對(duì)照 Security 小節(jié)核對(duì)受影響端點(diǎn)與修復(fù)版本、破壞性變更Node/pnpm 底線、socket.io 消息格式、Abiword→LibreOffice、Docker 默認(rèn)憑據(jù)要求、新增運(yùn)維開(kāi)關(guān)updates.*、mail.*、privacy.*、TRUST_PROXY、以及數(shù)據(jù)庫(kù)驅(qū)動(dòng)ueberdb2pin 版本。對(duì)應(yīng)源碼與測(cè)試均可從倉(cāng)庫(kù)直接翻閱更新器實(shí)現(xiàn)、設(shè)置解析、pad 生命周期、代理路徑凈化、導(dǎo)出轉(zhuǎn)義、管理端設(shè)置頁(yè)以及 doc/admin/updates.md 與 PRIVACY.md 兩份配套文檔。贊分享后端協(xié)同辦公WebSocket前端富文本【免費(fèi)下載鏈接】etherpadEtherpad: A modern really-real-time collaborative document editor.項(xiàng)目地址https://gitcode.com/gh_mirrors/et/etherpad點(diǎn)擊查看免費(fèi)下載相關(guān)推薦EasyExcel 版本演進(jìn)全解析從 1.x 到 4.x 的 Changelog 深度解讀EasyExcel 版本演進(jìn)全解析從 1.x 到 4.x 的 Changelog 深度解讀 本篇文章以 EasyExcel 官方版本更新記錄 update.m后端Spaceship Prompt 版本演進(jìn)全解析從 4.x 重構(gòu)到安全加固的 CHANGELOG 深度指南Spaceship Prompt 版本演進(jìn)全解析從 4.x 重構(gòu)到安全加固的 CHANGELOG 深度指南 導(dǎo)讀 本文以倉(cāng)庫(kù)根目錄的 CHANGELOG.md開(kāi)發(fā)工具從 CHANGELOG 解讀 mypy 2.x/1.x 演進(jìn)類型系統(tǒng)新特性、并行檢查與 mypyc 深度指南從 CHANGELOG 解讀 mypy 2.x/1.x 演進(jìn)類型系統(tǒng)新特性、并行檢查與 mypyc 深度指南 本篇指南以倉(cāng)庫(kù)根目錄下的 CHANGELOG.m開(kāi)發(fā)工具靜態(tài)分析代碼質(zhì)量創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考