CPA Manager Plus v1.14.9

2 commits · 16 files changed · +990 / -1463

English ->

Overview

v1.14.9 是 v1.14.8 之后的 1.x 安全维护版本，包含已合并的依赖安全更新与持续检查改进（#1049）。本次重点是更新构建工具链及依赖项、减少已知安全告警，并阻止后续存在未通过依赖扫描的改动直接通过既有 CI 门禁。

本次没有新增用户功能。 不包含 v2 架构改造，也不修改 CPA 管理 API、身份认证逻辑、数据库 Schema、凭证格式、配置格式或历史用量数据。

Go 与 Manager Server（#1049）：将 Go 源码构建工具链更新到 1.26.10，升级 golang.org/x/sys 至 v0.44.0；CI 依据 go.mod 选取工具链，Docker 构建阶段固定相应版本。SQLite 依赖仍为 v1.46.1。
Node.js 与前端依赖（#1049）：Docker 前端构建固定使用 Node.js 22.23.4，CI 使用 24.22.1；同时更新 axios、React Router、Vite、Vitest 等依赖及其锁定版本。
文档构建依赖（#1049）：通过限定范围的依赖覆盖处理 VitePress / DocSearch 相关安全告警，保留当前 VitePress 1.6.4，不扩展为文档站重构。
持续安全检查（#1049）：新增 npm 全工作区依赖审计，以及 Linux、macOS、Windows 的 amd64 / arm64 六组 Go 漏洞扫描。扫描失败、跳过或缺失时，现有 Required checks 不予通过；新增每周依赖检查与面向 dev 的 Dependabot 更新。
在 #1049 的验证记录中，npm 审计由 26 个受影响依赖节点降至 0 项报告告警，六平台 Go 源码扫描亦未报告已知漏洞。结果对应当时的扫描数据库快照，并非对未来零漏洞的保证。

从 v1.14.8 正常升级并重启即可。 不需要数据库迁移、配置修改或凭证重建；migration_required 为 false。
使用官方构建好的 Docker 镜像或原生安装包时，无须在宿主机另行安装 Go 或 Node.js。自行从源码构建 Manager Server 需要 Go 1.26.10；Node.js 源码构建需要兼容的 22.23.4+（22.x）、24.22.1+（24.x） 或 26.12.1+ 工具链。
本次依赖跨度较大，但没有预期的用户界面、认证、API 或数据行为变更。升级后建议检查管理页面、已有连接及主要功能是否正常。
完整 Muse / Meta 功能的 CPA 最低兼容版本仍为 v7.3.4+，本次未提高该要求。
v1.14.7 以来针对已有数据库的离线派生索引维护说明继续适用，本次没有新增维护步骤。
#1049 的本地验证覆盖前端、服务端、离线页面及原生跨平台构建；本地 Docker 构建因拉取基础镜像元数据失败未完成。因此正式发布仍以现有 CI 与发布 Dry Run 的构建检查为准。

Full Changelog: v1.14.8...v1.14.9