安全常见问题
页面导读
本页回答 FastBee 安全修复和升级中的常见问题。逐项修复状态与证据以安全公告与漏洞修复为准，实际上线检查见部署前安全核验清单。
1. 修复与版本
1.1. 新版本已经修复这些漏洞了吗？
官方维护代码已包含相应修复，但不能据此推断任意安装包都已包含修复。CVE-2026-120274 已公开修复提交 890a33846005a937a58cccd738b7fb9821b82ea9；其他项目也应按公告逐项核对。首个正式发布版本待核验时，应同时检查部署代码、配置和回归结果。
1.2. 如何确认当前实例是否受影响？
先记录实际版本和部署方式，再核对相关源码、接口、角色权限和开放端口。设备组越权要检查所有者校验，Groovy 要检查编译期和运行期防护，SIP XXE 要检查解析器配置。不要只根据版本号或第三方复现文章判断。
1.3. 直接更新到最新代码就安全了吗？
不是。维护代码修复不能替代实例验收，公网部署还涉及默认口令、演示权限、SIP 暴露、下载鉴权和自助注册。升级后必须完成正向和反向验证。
2. 升级与账号处理
2.1. 推荐按什么顺序升级？
先确认当前和目标版本，进入维护窗口并备份数据库与部署包，再阅读发布说明、按顺序执行升级 SQL、替换后端 jar 和前端资源，最后启动并验收。不要跨版本跳过 SQL，也不要只替换其中一端。
2.2. 商业版授权过期或做过二次开发，如何获得修复？
不要直接覆盖生产代码。先在独立分支或测试环境合并目标修复，区分官方修改与本地业务修改，处理代码冲突、数据库脚本、配置和前端依赖变化，再回归自定义协议、权限、页面和业务链路。
2.3. 默认账号密码需要删除或强制修改吗？
默认账号密码用于首次部署，用户可以在部署后自行修改，现有部署流程不变。公网或生产环境建议上线前修改默认口令、限制演示账号权限，防止被扫描器直接尝试。
3. 专项验证
3.1. 如何验证设备组越权已经修复？
使用两个不同所有者的测试账号，分别执行设备组读取、更新、重新分配、设备关联变更和删除。跨用户操作应被拒绝并留下日志，本人操作应正常。控制器、服务和 Mapper 不能只检查其中一层。
3.2. Groovy 修复只需隐藏脚本编辑入口吗？
不是。必须同时验证 SecureGroovyScriptExecutor.compileSource 的编译期限制和 BusinessScriptInterceptor 的运行期限制，并确认脚本入库和热加载前都执行同一套校验。隐藏入口或只删除 import 不能替代沙箱与权限控制。
3.3. 升级后应检查哪些安全日志？
检查登录与访问日志、越权拒绝、设备组异常变更、脚本变更与异常执行、SIP 日志和异常出站连接。日志只能辅助发现风险，不能代替拒绝性测试。
4. 报告与支持
4.1. 发现新的安全问题如何报告？
发送邮件至 164770707@qq.com，标题注明「FastBee 安全问题」，附上使用版本、受影响产品、复现步骤、影响说明和相关日志。尚未公开的问题不要先在公开 Issue 披露漏洞细节或可利用 POC。