首页 > 开源 > JeecgBoot V3.9.6 发布，67 项安全漏洞集中修复，AI 图像生成上线

JeecgBoot V3.9.6 发布，67 项安全漏洞集中修复，AI 图像生成上线

OSChina资讯 2026-11-05 09:30 5 阅读查看原文

前言

JeecgBoot V3.9.6 是一次以「安全」为主线的版本。距离 V3.9.5 发布两个多月，这一版集中处理了社区和安全研究人员报告的 67 项安全漏洞，覆盖越权访问、租户隔离、登录爆破、短信轰炸、SQL 注入、SSRF、XSS、远程代码执行等方向，并为大量导入导出、新增、删除接口补齐了按钮权限。

功能方面，AI 流程编排新增「图像生成」节点，Online 表单支持一键生成积木报表打印、导入增强批量钩子、popup 回显等改进；代码生成器修复了一批子表、popup 字典、高级查询的生成问题；字典缓存、角色授权、部门树加载等体验和性能也同步优化。建议所有用户尽快升级。

项目介绍

AI Skills 自然语言编程全新发布：一句话生成完整代码、一句话画流程、一句话设计表单、一句话出报表与大屏、一句话生成整个系统，覆盖 JeecgBoot 低代码全场景。

JeecgBoot 是一款 AI 低代码开发平台，支持 "低代码 + 零代码" 双模式。零代码模式下，5 分钟零代码快速搭建完整业务系统；低代码模式下，AI 自动输出前后端代码、建表 SQL 与菜单权限，生成即可运行。平台内置 AI 应用平台：AI 聊天助手、知识库、流程编排、MCP、插件，兼容各大模型！具备 Skills 能力，一句话画流程图、设计表单、甚至生成整个系统！整体遵循 "AI 生成 → 在线配置 → 代码生成 → 手工合并" 的开发流程，解决 Java 项目中 80% 的重复工作，在大幅提升效率的同时又不失灵活性。

发版时间：v3.9.6 | 2026-11-05

源码下载

Github 地址： https://github.com/jeecgboot/JeecgBoot
Gitee 地址： https://gitee.com/jeecg/JeecgBoot

升级日志

JeecgBoot V3.9.6 是一次以安全为核心的综合升级：集中修复 67 项安全漏洞，给大量敏感接口补齐权限控制，加强登录、短信、租户隔离和内部接口防护；AI 流程编排新增图像生成节点，Online 表单新增积木报表打印生成、导入增强批量钩子等能力；代码生成器、字典、角色授权、部门管理等模块同步修复和优化，进一步提升系统的安全性、稳定性和易用性。

一、安全与漏洞专项

本版本集中处理 67 项安全漏洞（GitHub Security Advisories），主要包括：

权限补齐： 填值规则、校验规则、字典删除、首页配置、部门权限与部门角色授权、数据规则、网关路由、系统监控、第三方集成配置及各模块 Excel 导入导出等接口补齐权限校验，普通登录用户不能再越权操作。
用户隐私： 用户列表增加「选人」权限控制，没有用户管理权限时，手机号、邮箱等隐私字段一律隐藏。
租户隔离： 多租户模式下用户查询只返回本租户数据；批量修改用户、设置部门负责人、租户拥有者变更等操作只允许管理员或本租户管理员执行，防止租户被接管。
登录与短信： 账号不存在和密码错误统一提示并计入失败次数，防止无限次猜密码；重置密码短信验证码错满 5 次作废；短信接口按手机号限流防止短信轰炸；登录图形验证码一次一用并默认开启；扫码登录二维码编号改为不可预测的随机串。
第三方登录： 回调跳转地址加白名单防止 token 外泄，修复反射型 XSS。
内部接口： /sys/api、/airag/api、/online/api 等内部服务接口禁止外部直接访问，单体和微服务网关同步拦截；OPTIONS 预检请求不再能绕过签名和授权校验。
SQL 注入与数据源： 加固表字典查询和字典过滤条件，防止越权读表和 SQL 注入；数据源连接拦截危险驱动和参数，防止测试连接时被远程执行代码或写任意文件；接口和 Excel 导出不再返回数据库密码。
SSRF： 补全跳转绕过、0.0.0.0 和 IPv6 本机地址的拦截，新增内网地址开关和白名单配置。
XSS： 修复富文本过滤绕过和 Online 表单详情页的存储型 XSS。
消息与监控： WebSocket 只能订阅自己的消息，消息详情和发送记录不能查看他人数据；actuator 监控端点只允许管理员访问，请求追踪记录脱敏。
OpenAPI： 签名校验拒绝空密钥，清空出厂演示凭据。
AI 平台： AI 应用与外挂数据接口补权限；AI 语音 / 视频记录只能查看和删除自己的；AI 工具调用身份校验防止伪造管理员；AI 流程导入补权限防止远程执行代码；MCP 命令执行前拦截危险字符。

二、AI 应用与 AI Flow

AI 流程编排新增「图像生成」节点，可以通过文字描述或参考图生成图片。
AI 应用新增图像生成能力；千问图片模型保留 qwen-image-3.0-pro 和 qwen-image-3.0，并标注文生图、图生图。
AI 思考过程中显示工具调用，工具名称显示为流程名；生成内容时用户向上滚动不再被强制拉回底部。
AI 流程接口拆分为独立接口，AI 依赖改为按需加载；修复 AI 模块集成 LiteFlow 后业务模块无法自定义表结构的问题。
AI 聊天助手限流配置统一，配置为空或 0 时关闭对应限流。
修复智能体流程无法使用对话中上传的图片、本地 Ollama 模型调用报错、清空额外参数不生效、Docker 部署插件调用连接被拒绝等问题。

三、Online 表单与低代码

Online 表单支持一键生成积木报表打印功能，生成后自动集成打印地址。
新增 Online 表单数据查询接口，供积木报表直接查询 Online 数据。
Online 导入的 Java 增强新增导入前、导入后批量处理钩子，整批导入只取一次增强对象。
树表列表新增「生成测试数据」按钮，测试数据按根节点生成，不再乱填父节点。
按钮按详情、编辑、新增权限分别显示，Tab 风格子表弹窗的新增按钮也按权限隐藏。
popup 和 popup 字典编辑时回显已勾选项；字典配置弹窗增加关联记录和他表字段配置说明。
批量删除也会执行 JS 增强的删除前事件。
修复 popup 字典超过 10 个值翻译不出来、高级查询「不为空」无效、SQL Server 下 Online 报表加 where 条件报错、ERP 子表分页数据随主表整体提交、一对一子表列数设置不生效等问题。

四、代码生成器

修复一对多子表的 popup 字典、关联记录、分类字典树、自定义树没有生成的问题。
修复小数字段、高级查询 popup 字典和关联记录字典项没有生成的问题。
修复导出时 popup 字典和主子表组件没有翻译的问题。
修复移动端一对一子表没有铺满屏幕、原生表单出现两个滚动条的问题。

五、系统管理、性能与易用性

管理员修改字典后，其他用户刷新页面即可看到最新字典，字典没变时不重复加载。
角色授权、部门角色授权后立即生效，用户无需重新登录。
部门树加载提速，SQL Server 下表单办理页加载慢的问题明显改善。
租户套餐包菜单支持分配数据规则。
首页配置的用户和角色支持多选，并显示为名称。
部门导入导出支持机构简称；部门管理用户列表增加「移出」操作；我的部门用户列表支持按姓名模糊查询。
修复回收站字典仍可在表单上选择、已冻结用户可重复冻结、我的消息发布人未翻译、表字典分页回填字段错位等问题。
修复 HTTPS 反向代理下页面白屏、大屏 WebSocket 数据集无法连接等问题。

六、升级须知

选人权限： 选人组件、通讯录等功能需要「标准权限 > 用户选择查询」权限。升级脚本已默认授权给管理员；其他角色需要在角色授权里勾选，授权后重新登录生效。
新增按钮权限： 升级脚本会把本版新增的按钮权限自动授权给已拥有对应菜单的角色，升级前能用的功能升级后照常可用。
微服务部署： 微服务模式默认未开启 flyway，请按版本顺序手工执行 flyway/sql/mysql 目录下 V3.9.5_1 ~ V3.9.5_4、V3.9.6_0 开头的升级脚本。
OpenAPI： 内置演示 AK/SK 已清空，需在「OpenAPI 授权管理」重新生成后才能调用。

为什么选择 JeecgBoot?

界内首款 AI 低代码开发平台，同时具备 AI 应用平台和低代码平台，通过 AI 驱动低代码开发！开源界 "小普元" 超越传统商业平台。引领低代码开发模式 (OnlineCoding-> 代码生成器 -> 手工 MERGE)，低代码开发同时又支持灵活编码，可以帮助解决 Java 项目 70% 的重复工作，让开发更多关注业务。既能快速提高开发效率，节省成本，同时又不失灵活性。

1. 提供了一套完善的 AI 应用管理系统模块，是一套类似 Dify 的 AIGC 应用开发平台 + 知识库问答，是一款基于 LLM 大语言模型 AI 应用平台和 RAG 的知识库问答系统。其直观的界面结合了 AI 流程编排、RAG 管道、知识库管理、模型管理、对接向量库、实时运行可观察等，让您可以快速从原型到生产，拥有 AI 服务能力
2. 采用最新主流前后分离框架（Spring Boot3 + MyBatisPlus + Vue3.0 + TypeScript + Vite6 + Ant Design Vue4 ）等新技术方案。便于学习容易上手，代码生成器依赖性低，灵活的扩展能力，可快速实现二次开发。
3. 支持微服务 Spring Cloud Alibaba（Nacos、Gateway、Sentinel、Skywalking），提供简易机制，支持单体和微服务自由切换（这样可以满足各类项目需求）。
4. 开发效率高，支持在线建表和 AI 建表，提供强大代码生成器，单表、树列表、一对多、一对一等数据模型，增删改查功能一键生成，菜单配置直接使用。
5. 代码生成器提供强大模板机制，支持自定义模板，目前提供四套风格模板（单表两套、树模型一套、一对多三套）。
6. 提供强大的报表和大屏可视化工具，支持丰富的数据源连接，能够通过拖拉拽方式快速制作报表、大屏和门户设计；支持多种图表类型：柱形图、折线图、散点图、饼图、环形图、面积图、漏斗图、进度图、仪表盘、雷达图、地图等。
7. 低代码能力：在线表单（无需编码，通过在线配置表单，实现表单的增删改查，支持单表、树、一对多、一对一等模型，实现人人皆可编码），在线配置零代码开发、所见即所得支持 23 种类控件。
8. 低代码能力：在线报表、在线图表（无需编码，通过在线配置方式，实现数据报表和图形报表，可以快速抽取数据，减轻开发压力，实现人人皆可编码）。
9.Online 支持在线增强开发，提供在线代码编辑器，支持代码高亮、代码提示等功能，支持多种语言（Java、SQL、JavaScript 等）。
10. 封装完善的用户、角色、菜单、组织机构、数据字典、在线定时任务等基础功能，支持访问授权、按钮权限、数据权限等功能。
11. 前端 UI 提供丰富的组件库，支持各种常用组件，如表格、树形控件、下拉框、日期选择器等，满足各种复杂的业务需求 UI 组件库文档。
12. 提供 APP 配套框架，一份多代码多终端适配，一份代码多终端适配，小程序、H5、安卓、iOS、鸿蒙 Next。
13. 新版 APP 框架采用 Uniapp、Vue3.0、Vite、Wot-design-uni、TypeScript 等最新技术栈，包括二次封装组件、路由拦截、请求拦截等功能。实现了与 JeecgBoot 完美对接：目前已经实现登录、用户信息、通讯录、公告、移动首页、九宫格、聊天、Online 表单、仪表盘等功能，提供了丰富的组件。
14. 提供了一套成熟的 AI 应用平台功能，从 AI 模型、知识库到 AI 应用搭建，助力企业快速落地 AI 服务，加速智能化升级。
15.AI 能力：目前 JeecgBoot 支持 AI 大模型 chatgpt 和 deepseek，现在最新版默认使用 deepseek，速度更快质量更高。目前提供了 AI 对话助手、AI 知识库、AI 应用、AI 建表、AI 报表等功能。
16. 提供新行编辑表格 JVXETable，轻松满足各种复杂 ERP 布局，拥有更高的性能、更灵活的扩展、更强大的功能。
17. 平台首页风格，提供多种组合模式，支持自定义风格；支持门户设计，支持自定义首页。
18. 常用共通封装，各种工具类（定时任务、短信接口、邮件发送、Excel 导入导出等），基本满足 80% 项目需求。
19. 简易 Excel 导入导出，支持单表导出和一对多表模式导出，生成的代码自带导入导出功能。
20. 集成智能报表工具，报表打印、图像报表和数据导出非常方便，可极其方便地生成 PDF、Excel、Word 等报表。
21. 采用前后分离技术，页面 UI 风格精美，针对常用组件做了封装：时间、行表格控件、截取显示控件、报表组件、编辑器等。
22. 查询过滤器：查询功能自动生成，后台动态拼 SQL 追加查询条件；支持多种匹配方式（全匹配 / 模糊查询 / 包含查询 / 不匹配查询）。
23. 数据权限（精细化数据权限控制，控制到行级、列表级、表单字段级，实现不同人看不同数据，不同人对同一个页面操作不同字段）。
24. 接口安全机制，可细化控制接口授权，非常简便实现不同客户端只看自己数据等控制；也提供了基于 AK 和 SK 认证鉴权的 OpenAPI 功能。
25. 活跃的社区支持；近年来，随着网络威胁的日益增加，团队在安全和漏洞管理方面积累了丰富的经验，能够为企业提供全面的安全解决方案。
26. 权限控制采用 RBAC（Role-Based Access Control，基于角色的访问控制）。
27. 页面校验自动生成（必须输入、数字校验、金额校验、时间空间等）。
28. 支持 SaaS 服务模式，提供 SaaS 多租户架构方案。
29. 分布式文件服务，集成 MinIO、阿里 OSS 等优秀的第三方，提供便捷的文件上传与管理，同时也支持本地存储。
30. 主流数据库兼容，一套代码完全兼容 MySQL、PostgreSQL、Oracle、SQL Server、MariaDB、达梦、人大金仓等主流数据库。
31. 集成工作流 Flowable，并实现了只需在页面配置流程转向，可极大简化 BPM 工作流的开发；用 BPM 的流程设计器画出了流程走向，一个工作流基本就完成了，只需写很少量的 Java 代码。
32. 低代码能力：在线流程设计，采用开源 Flowable 流程引擎，实现在线画流程、自定义表单、表单挂靠、业务流转。
33. 多数据源：极其简易的使用方式，在线配置数据源配置，便捷地从其他数据抓取数据。
34. 提供单点登录 CAS 集成方案，项目中已经提供完善的对接代码。
35. 低代码能力：表单设计器，支持用户自定义表单布局，支持单表、一对多表单，支持 select、radio、checkbox、textarea、date、popup、列表、宏等控件。
36. 专业接口对接机制，统一采用 RESTful 接口方式，集成 Swagger-UI 在线接口文档，JWT token 安全验证，方便客户端对接。
37. 高级组合查询功能，在线配置支持主子表关联查询，可保存查询历史。
38. 提供各种系统监控，实时跟踪系统运行情况（监控 Redis、Tomcat、JVM、服务器信息、请求追踪、SQL 监控）。
39. 消息中心（支持短信、邮件、微信推送等）；集成 WebSocket 消息通知机制。
40. 支持多语言，提供国际化方案。
41. 数据变更记录日志，可记录数据每次变更内容，通过版本对比功能查看历史变化。
42. 提供简单易用的打印插件，支持谷歌、火狐、IE11 + 等各种浏览器。
43. 后端采用 Maven 分模块开发方式；前端支持菜单动态路由。
44. 提供丰富的示例代码，涵盖了常用的业务场景，便于学习和参考。