Repository navigation
版本概述
SQLBot v1.10.2 是一个聚焦于系统安全加固、智能选表核心算法升级与数据源稳定性增强的维护版本。
在安全层面，本版本针对社区反馈与专业安全审查，集中修复了涵盖跨工作空间越权访问（IDOR）、Host 头注入鉴权绕过、路径遍历等在内的 8 项关键漏洞，并新增默认密码隐藏及首次登录强制改密机制，全面提升企业级交付的安全水位；在算法层面，Text-to-SQL 表匹配机制引入了大模型关键词抽取与向量语义融合打分体系，大幅改善多表与歧义表场景下的选表准确率；此外，本版本还新增了泰语（th-TH）完整多语言支持，完成了 Supervisor 进程管理重构，并对 Oracle、PostgreSQL、SQL Server、Hive 等数据源进行了深度稳定性优化。
漏洞修复 (Security Fixes)
- fix: 修复 Excel 上传接口的路径遍历漏洞 (CWE-22)；
- fix: 修复用户可控键导致的授权绕过漏洞 (CWE-639)；
- fix: 修复 Host 头注入导致鉴权绕过及可伪造管理员嵌入 Token 的漏洞 (CNVD)；
- fix: 修复跨工作空间数据源 Schema 泄露与越权修改的漏洞 (IDOR，不安全的直接对象引用，Insecure Direct Object Reference)；
- fix: 修复跨工作空间推荐问题可被越权读取与覆盖的漏洞 (IDOR)；
- fix: 修复跨工作空间助手可被越权修改与删除的漏洞 (IDOR)；
- fix: 修复仪表板接口越权导致跨用户修改的漏洞 (IDOR)；
- fix: 修复 Kingbase 数据源 SQL 注入漏洞。
新增特性 (New Features)
- feat(数据源): 新增基于大模型关键词提取与融合打分的表匹配机制，结合上下文术语扩展，显著提升复杂数据模型下的选表命中率；
- feat(国际化): 新增泰语 (th-TH) 完整多语言支持，覆盖前端界面组件、交互提示与大模型本地化提示词模板；
- feat: 新增 SAMPLE_DATA_ENABLED 系统环境变量，支持生产环境按需一键关闭内置示例数据；
- feat: 新增账号安全初始化配置，支持隐藏系统默认初始密码并在用户首次登录时强制要求修改密码 #1355。
功能优化 (Improvements)
- refactor(数据源): 优化容器启动与初始化脚本中的 PostgreSQL 连通就绪检查机制，改用 pg_isready 提升探测可靠性 #1300；
- refactor: 优化 Excel 表头字段过多导致大模型提示词超出长度限制的问题 #1364；
- refactor: 富文本编辑器核心组件升级为 TinyMCE 6.x，提升排版交互性能与现代浏览器兼容性；
- perf: 行内错误提示全面接入国际化 (i18n) 机制，消除未翻译提示信息；
- build: 容器内进程管理架构重构，使用 Supervisor 替换 pm2，提升多进程监控与守护的稳定性。
问题修复 (Bug Fixes)
- fix(嵌入式): 修复嵌入模式下浮动形态与全屏形态上下间距样式不一致的问题；
- fix(数据格式): 修复科学计数法展开为浮点数时数值未完整保留导致的精度失真问题；
- fix(数据源): 修复高级助手无法访问宿主数据源 API 的权限鉴权异常；
- fix(数据源): 修复 Hive 表字段元数据发现中混入分区描述头与重复字段的问题 #1250；
- fix(数据源): 修复数据源 Schema 表选择配置时未保留已显式引用表的问题；
- fix(数据源): 修复 SQL Server 连接池创建中数据源对象游离 (Detached) 导致连接初始化失败的问题 #1330；
- fix(数据源): 修复动态移除连接池时未主动释放 SQLAlchemy Engine 导致数据库连接泄漏的问题；
- fix(系统变量): 修复键值类型系统变量仅包含单个选项时下拉列表出现多余空选项的问题；
- fix(运维工具): 修复 sctl 脚本在容器健康检查时提取容器名称残留换行符 (\r) 导致匹配失效的问题；
- fix(X-Pack): 修复助手 API 在复杂推理场景下请求超时中断的问题 #1288；
- fix: 修复 Excel 与 CSV 数据集导入时整数字段值未正确取整导致格式异常的问题 #1365；
- fix: 修复 Oracle 数据源执行耗时元数据检索与查询时连接超时的问题 #1360。