Skip to content

v1.2.1 - Hotfix (config retention / SSRF / Milvus injection / MCP hardening)

Choose a tag to compare

View all tags
@TASure TASure released this 25 Sep 10:26
· 74 commits to main since this release
v1.2.1
2a3d8c7

sureai v1.2.1 — 热修复版本

针对 v1.2.0 全维度团队检视发现的正确性与安全问题发布的热修复版本。770 个测试 0 失败，无新功能，建议所有 1.2.0 用户升级。

🐛 Fixed

  • P0-1 配置字段静默丢失：补默认 baseUrl 时重建 AiConfig 会丢弃 metrics / 重试监听器 / 限流 / 缓存 / 熔断等字段。新增 AiConfig.withBaseUrl() 全字段拷贝，替换 19 处平台样板；新增逐字段回归测试。
  • P1-4/5 MCP 健壮性：NDJSON 帧增加 64MB 上限（防恶意 server OOM）；子进程关闭改为 destroy → 5s 等待 → destroyForcibly（防 close 永久阻塞）；补超时 / EOF 断连 / 超大帧 / 吞 TERM 强杀测试。

🔒 Security

  • P0-3 Milvus filter 注入：删除条件中 id 未转义，构造恶意 id 可误删整个集合。id 已转义并增加注入测试。
  • P1-1 HttpTool SSRF：原仅校验 scheme，可访问内网/云元数据地址；响应全量入内存可致 OOM。新增 SSRFGuard（回环/私有段/链路本地/多播/IPv4 映射等 7 类拒绝 + DNS 解析全 IP 校验 + 重定向复检），响应体改流式限长。

📝 Docs

  • P2-1：中英文 README 与 11 个平台文档的 Maven Central 徽章、依赖片段从过期的 0.1.0 更新为 1.2.1。

📊 质量

  • 全工程 770 测试 0 失败（+27）；core 覆盖率 86.4%、rag 88.4%、agent 82.5%、mcp 81.0%
  • checkstyle / spotbugs / license 门禁全绿；运行期第三方依赖仍有且仅有 sure-core:0.2.0

Full Changelog: v1.2.0...v1.2.1

Assets 2
Loading