chore: bump version to 1.0.26

[pppanghu77]

1.0.26

Log:

[github-actions]

TAG Bot

TAG: 1.0.26
EXISTED: no
DISTRIBUTION: unstable

[deepin-ci-robot]

deepin pr auto review

你好！我是CodeGeeX，你的智能编程助手。

针对你提供的 git diff 内容，我进行了仔细的审查。本次提交的变更是关于 docparser 软件包的 Debian changelog 更新，记录了将 Excel 解析库替换为 libxls 和 xlsxio 的改动。

虽然这只是一个 .changelog 文件的变更，不涉及核心代码逻辑，但在语法规范、代码质量、性能影响和安全性方面，仍有以下几点需要引起注意和改进：

1. 语法与规范

• 日期格式异常（未来时间）：
  你的 changelog 中记录的日期是 Tue, 26 May 2026，这是一个未来的时间。根据 Debian changelog 的规范，日期应当是实际打包或构建的时间。Debian 的打包工具（如 dpkg-parsechangelog）通常对时间顺序有严格要求，未来时间可能会导致版本解析或自动构建系统出现警告甚至错误。
  • 改进意见：请确认该日期是否为笔误，建议修改为当前真实的构建日期。可以使用 dch 工具自动生成符合规范且时间准确的条目。

2. 代码质量

• 变更描述过于简略：
  描述信息 replace excel parsing with libxls and xlsxio 仅仅说明了“做了什么”，但没有说明“为什么这样做”。对于基础解析库的替换，通常涉及大量的底层重构，良好的提交记录应该说明替换的动机。
  • 改进意见：建议在 changelog 或 commit message 中补充替换原因。例如：是因为旧库存在内存泄漏？还是因为旧库不再维护？亦或是为了提升大文件的解析性能？这有助于未来的维护者理解架构演进的上下文。

3. 代码性能

虽然本次 diff 未展示具体的 C/C++ 代码，但替换 Excel 解析库是一个对性能影响极大的操作，我需要对你后续的代码实现提出性能审查建议：

• 关于 libxls（解析 .xls 格式）：libxls 是纯 C 实现的轻量级库，性能通常较好。但需要注意它在处理极大 .xls 文件时的内存映射策略，确保没有将整个文件一次性读入内存。
• 关于 xlsxio（解析 .xlsx 格式）：.xlsx 本质上是 ZIP 压缩包内包含 XML 文件。xlsxio 的优势在于支持流式解析，不需要将整个 XML DOM 树加载到内存中。
  • 改进意见：在实现代码时，务必使用 xlsxio 的流式读取 API（如迭代行的方式），而不是一次性解析整个 Sheet。这对于大型 Excel 文件的内存占用和解析速度有决定性的影响。

4. 代码安全

同样，基于你替换的底层库，我必须提醒你关注以下安全隐患：

• ZIP 炸弹风险：由于 .xlsx 是 ZIP 格式，恶意构造的 Excel 文件可能包含极小体积但解压后极其庞大的 XML（ZIP 炸弹）。如果 xlsxio 或底层的 libzip/zlib 没有配置解压阈值，可能导致内存耗尽（OOM）甚至拒绝服务。
  • 改进意见：在调用 xlsxio 解压前，检查 ZIP 文件的解压后大小限制，或者限制解压的压缩比率。
• XML 外部实体注入（XXE）：.xlsx 内部的 XML 如果被恶意构造，可能包含外部实体引用。xlsxio 底层依赖于 XML 解析库（如 expat）。
  • 改进意见：确保在初始化 XML 解析器时，显式禁用 DTD（文档类型定义）和外部实体解析，防止 XXE 攻击导致的信息泄露或 SSRF。
• 历史漏洞：libxls 在历史上曾被发现存在缓冲区溢出（如 CVE-2021-27836, CVE-2023-34253 等）漏洞。
  • 改进意见：确保你集成的 libxls 和 xlsxio 是最新版本，切勿使用存在已知 CVE 漏洞的旧版本。

---

总结：
本次 diff 本身只是一个版本记录变更，但请务必修正 2026 年的日期问题。同时，由于底层解析库的替换直接关系到文件解析的稳定性和安全性，请在你后续的代码实现中，严格审查 xlsxio 的流式 API 使用、ZIP 炸弹防护以及 XML 解析的安全配置。

如果你能提供替换库的具体 C/C++ 业务代码 diff，我可以为你提供更精确的代码级审查！

[deepin-ci-robot]

[APPROVALNOTIFIER] This PR is NOT APPROVED

This pull-request has been approved by: Johnson-zs, pppanghu77

The full list of commands accepted by this bot can be found here.

Details

Needs approval from an approver in each of these files:

• debian/deepin/OWNERS

Approvers can indicate their approval by writing /approve in a comment
Approvers can cancel approval by writing /approve cancel in a comment

[pppanghu77]

/forcemerge

[deepin-bot]

This pr force merged! (status: unstable)

[deepin-bot]

TAG Bot

✅ Tag created successfully

📋 Tag Details

• Tag Name: 1.0.26
• Tag SHA: c2e96a8287d489813de14c087ab1c8e0621fe02d
• Commit SHA: 9da2bf5e7c2ed88a3034e47bf949b2196581b6b7
• Tag Message:

  Release docparser 1.0.26
  
  

• Tagger:
  • Name: pppanghu77
• Distribution: unstable