django CMS 4.1.4 发布说明与升级指南安全修复、兼容性矩阵与源码级修复解析【免费下载链接】django-cmsThe easy-to-use and developer-friendly enterprise CMS powered by Django项目地址: https://gitcode.com/gh_mirrors/dj/django-cmsdjango CMS 4.1.4 是 django CMS 4 系列的首个社区版本4.1下的一个安全维护版本发布于 2024 年 11 月 12 日核心目的是关闭一个可导致页面标题注入恶意脚本的 XSS 安全漏洞。本文基于仓库中的官方发布说明docs/upgrade/4.1.4.rst结合当前仓库源码cms/templatetags/cms_admin.py、cms/sitemaps/cms_sitemap.py、cms/models/pagemodel.py等逐条剖析 4.1.4 的安全修复与各项 Bug 修复的底层实现并给出从旧版本升级到 django CMS 4 的完整行动指引。版本概览为什么 4.1.4 值得立即升级django CMS 4.1 是 django CMS 4 的首个社区版本而 4.1.4 是这一版本线中同时承担安全修复任务的维护版本。与 3.x 系列相比django CMS 4 引入了大量需要用户主动适配的架构变更因此从 3.5 升级到 4.x 时官方要求务必阅读完整的逐步升级指南详见下文升级路径一节。4.1.4 的核心信息可以概括为三点含安全修复关闭了一个可利用 django CMS 后台向页面标题注入恶意代码、进而在页面被访问时加载任意 JavaScript 的 XSS 漏洞GitHub issue #8075。明确支持矩阵支持 Django 3.2 至 5.1支持 Python 3.9、3.10、3.11 和 3.12。9 个 Pull Request、8 项修复覆盖模板标签、菜单渲染、站点菜单、站点地图、X-Frame-Options 等多个模块。仓库CHANGELOG.rstCHANGELOG.rst第 594 行同样记录了4.1.4 (2024-11-12)的完整修复列表与官方发布说明保持一致可作为交叉验证依据。安全修复页面标题 XSS 漏洞#8075漏洞本质4.1.4 关闭的安全漏洞允许攻击者向页面标题page title注入恶意代码当普通用户访问该页面时恶意 JavaScript 会被加载执行。官方将该漏洞评级为低严重性low severity原因在于利用前提是攻击者必须已经具备访问 django CMS 后台管理界面的权限——这显著缩小了攻击面但并不能成为拖延升级的理由。官方在发布说明中明确建议尽快升级到此版本。修复位置与防护思路虽然该漏洞在 4.1.4 中修复但从当前仓库源码可以还原其防护纵深模板标签层面的安全输出cms/templatetags/cms_admin.py中的get_page_display_name模板标签在拼接页面标题时明确使用 Django 的escape()对标题文本进行 HTML 转义并对非当前语言的标题以斜体标记展示cms/templatetags/cms_admin.pyregister.simple_tag(takes_contextFalse) def get_page_display_name(cms_page): language get_language() page_content cms_page.get_admin_content(language, fallbackforce) title page_content.title or page_content.page_title or page_content.menu_title if not title: title cms_page.get_slug(language) or _(Empty) return title if page_content.language language else mark_safe(fem{escape(title)} ({page_content.language})/em)点击劫持防护Clickjacking后台多个视图通过 Django 的xframe_options_sameorigin装饰器限制页面只能在同源 iframe 中加载cms/admin/placeholderadmin.py 中多处使用避免后台页面被第三方站点嵌套后诱导操作。作为通用提醒官方重申所有安全报告、补丁与安全问题应仅通过邮件发送给安全团队securitydjango-cms.org不要通过公开 issue 渠道提交安全漏洞。Django 与 Python 兼容性矩阵4.1.4 的官方支持范围如下运行时支持版本官方建议Django3.2 5.1只推荐并支持每个系列的最新发布版Python3.9、3.10、3.11、3.12只推荐并支持每个系列的最新发布版也就是说虽然兼容范围较宽但 django CMS 团队只对每个 Django/Python 小版本系列的最新补丁版本进行正式支持与测试生产环境应优先使用系列内的最新版本。需要说明的是当前仓库cms/__init__.py中的版本号已是5.2.0dev1即仓库已演进到 5.2 开发线4.1.4 是历史维护版本但该发布说明中定义的兼容矩阵与升级路径仍然适用于运行 4.1.x 系列的用户。如果你仍在 3.x 或更早的 4.0 版本应参考下文的升级指引。Bug 修复逐条解析结合源码1. 菜单在出现意外页面内容时崩溃#8052现象当菜单渲染过程中遇到意外的页面内容unexpected page content时站点菜单Menus会直接崩溃。源码关联cms/models/pagemodel.py的get_admin_content方法cms/models/pagemodel.py展示了页面内容获取的防御性设计——当指定语言没有对应PageContent时会返回一个EmptyPageContent空对象而非None并支持通过fallback参数依次回退到语言回退链i18n.get_fallback_languages乃至任意语言内容fallbackforce。这体现了 4.x 版本页面Page与页面内容PageContent分离模型下代码必须能稳健处理内容缺失或异常的约定#8052 的修复正是补齐了菜单渲染路径上对这一情况的容错。2. 页面树中的站点菜单为空#8064现象在后台页面树page tree视图中站点Sites下拉菜单显示为空。源码关联后台页面树相关逻辑位于cms/admin/pageadmin.py页面树行渲染依赖show_admin_menu_for_pages模板标签cms/templatetags/cms_admin.py它通过admin.get_tree_rows(...)按preview_language与树过滤状态生成行。该修复确保了站点切换菜单在多站点部署场景下能正确列出当前可用的站点。3. 编辑重定向Redirect工具栏对象时增加提示消息#8056现象当用户在工具栏中编辑一个重定向类型的页面对象时此前没有任何反馈容易让编辑者误以为改动未生效。源码关联当前仓库的工具栏模板 cms/templates/cms/toolbar/toolbar_with_structure.html 第 87-91 行展示了这一交互的最终形态当cms_toolbar.redirect_url存在时模板会渲染一段提示——它正在被重定向到链接让编辑者明确知道当前页面实际会跳转到哪里对应地cms/views.py 中toolbar.redirect_url的赋值逻辑负责在渲染工具栏时注入该重定向目标。4. 页面设置表单新增 X-Frame-Options#8041现象此前页面设置Page Settings表单中无法配置点击劫持防护策略。修复内容4.1.4 将xframe_options字段正式纳入页面设置表单。源码关联当前仓库保留了这一能力并持续演进字段定义在 cms/admin/forms.pyxframe_options是一个ChoiceField选项与默认值直接取自PageContent模型字段PageContent._meta.get_field(xframe_options).choices / .default保证表单与模型、迁移保持一致。取值常量定义在 cms/constants.pyX_FRAME_OPTIONS_INHERIT 0 X_FRAME_OPTIONS_DENY 1 X_FRAME_OPTIONS_SAMEORIGIN 2 X_FRAME_OPTIONS_ALLOW 3clean_xframe_optionscms/admin/forms.py负责校验若表单未包含该字段或提交值为空则回落到模型默认值。渲染侧cms/cache/page.py中get_xframe_cache/set_xframe_cachecms/cache/page.py会将每页的 X-Frame-Options 写入缓存避免每次响应时重复计算。实际使用提示除非显式覆盖X_FRAME_OPTIONS_INHERIT继承页面会保持未设置状态从而沿用项目级X_FRAME_OPTIONS设置django CMS 安装规则示例中即推荐X_FRAME_OPTIONS SAMEORIGIN见 cms/management/commands/djangocms_install_rules.json。5.get_admin_url_for_language模板标签未返回最新页面内容#7967现象后台模板标签get_admin_url_for_language在切换语言编辑链接时没有返回最新的PageContent导致可能编辑到旧版本内容。源码关联该标签定义在 cms/templatetags/cms_admin.py是一个基于 classytags 的AsTag标签核心逻辑如下def get_value(self, context, page, language): if language in page.get_languages(): page_content page.get_admin_content(language) if page_content: admin_url admin_reverse(cms_pagecontent_change, args[page_content.pk]) return self._add_popup_params(context, admin_url) admin_url admin_reverse(cms_pagecontent_add) admin_url f?cms_page{page.pk}language{language} return self._add_popup_params(context, admin_url)它通过page.get_admin_content(language)cms/models/pagemodel.py获取页面内容该方法的缓存填充逻辑set_admin_content_cachecms/models/pagemodel.py使用pagecontent_set(manageradmin_manager).latest_content().all()即始终取每个语言下最新的内容版本——这正是 #7967 修复的核心确保语言切换链接指向最新内容而非过期缓存。若该语言尚无内容则回退到新增 PageContent的 URL带cms_page与language查询参数。_add_popup_paramscms/templatetags/cms_admin.py负责把关联对象弹窗状态_popup/_to_field透传到新 URL 上保证在弹窗内切换语言后弹窗状态不丢失。6.CMSSitemap.items()返回 QuerySet#8031现象此前CMSSitemap.items()的返回类型不稳定影响了与djangocms-page-sitemap等第三方扩展的兼容性。修复内容4.1.4 使items()稳定返回QuerySet。源码关联当前仓库 cms/sitemaps/cms_sitemap.py 中CMSSitemap.items()的完整实现即为该修复的演进结果def items(self) - QuerySet: site self.site or Site.objects.get_current() languages get_public_languages(site_idsite.pk) return ( PageUrl.objects.get_for_site(site) .filter(language__inlanguages, path__isnullFalse, page__login_requiredFalse) .order_by(page__path) .select_related(page) .annotate( content_changed_dateSubquery( PageContent.objects.filter(pageOuterRef(page), languageOuterRef(language)) .filter(Q(redirect) | Q(redirectNone)) .values_list(changed_date)[:1] ) ) .filter(content_changed_date__isnullFalse) # Remove page content with redirects )关键设计点只收录公开、非重定向、匿名可访问的页面源码注释明确说明重定向页面不应进入 sitemap站内跳转的目标页本身已在列表中站外跳转更不应收录login_required页面同样排除。通过Subquery注解每个页面语言对应的最新PageContent.changed_date配合lastmod()cms/sitemaps/cms_sitemap.py输出lastmod时间戳。location()返回page_url.get_absolute_url(page_url.language)cms/sitemaps/cms_sitemap.py保证 URL 与站点语言一致。启用方式官方文档内嵌示例在settings.py的INSTALLED_APPS中加入django.contrib.sitemaps然后在 URLconf 中注册from django.contrib.sitemaps import views as sitemap_views from cms.sitemaps.cms_sitemap import CMSSitemap sitemaps { pages: CMSSitemap, } urlpatterns [ path(sitemap.xml, sitemap_views.sitemap, {sitemaps: sitemaps}, namesitemap), ]7. 所选语言缺少页面内容时的 UX 改进#8033现象当用户在后台切换到某个尚未创建内容的语言时编辑体验不友好。修复内容4.1.4 改善了所选语言缺少页面内容场景下的用户交互。结合get_admin_url_for_language的源码可以理解其行为闭环当目标语言没有PageContent时模板标签会自动生成一个携带cms_page与language参数的新增内容URLcms/templatetags/cms_admin.py引导用户直接创建该语言版本的内容同时get_page_display_name在回退展示其他语言标题时会明确标注来源语言如em标题 (en)/em让编辑者清楚当前看到的是哪种语言的内容cms/templatetags/cms_admin.py。8. 其他欢迎页更新#80574.1.4 同步更新了后台欢迎页welcome page改善新用户的首次体验。该页面由 Fabian Braun 提交属于非功能性改进。发布统计与贡献者4.1.4 共包含9 个 Pull Request由以下贡献者完成按字母序贡献者Pull Request 数Fabian Braun5Jacob Rief1Jens-Erik Weber1Sal2评审贡献者Jacob Rief、Mark Walker、Vinit Kumar。升级路径从 3.x / 4.0 升级到 4.1.4由于 django CMS 4 相对 3.x 是架构性大版本官方在发布说明中特别以警告warning形式强调django CMS 4.1 是 django CMS 4 的首个社区版本。若你正从 3.x 版本升级django CMS 4 引入了必须采取行动的变更。必须遵循的分步升级指南位于 docs/upgrade/4.0.rst即 4.1.4 发布说明中upgrade-to-4.0锚点指向的文档。升级前请重点核对以下事项Python / Django 版本确认运行环境满足 4.1.4 的支持矩阵Python 3.9、Django 3.2。插件与扩展兼容性django CMS 4 引入了Page与PageContent分离的模型结构所有依赖旧版 API 的第三方插件、自定义代码都需要按 4.0 升级指南逐项适配。模板与菜单 API菜单渲染、工具栏相关的自定义实现需要按新版 API 调整。安全升级优先级4.1.4 含安全修复若当前正运行 4.1.x 早期版本应尽快升级到 4.1.4若仍停留在 3.x则需先完成 4.0 的架构升级流程。小结django CMS 4.1.4 是一个小版本、大影响的维护版本它关闭了后台可利用的页面标题 XSS 漏洞稳定了CMSSitemap.items()的返回类型修复了get_admin_url_for_language的语言切换链接指向旧内容的问题并为页面设置表单补齐了 X-Frame-Options 配置能力。对于运行 django CMS 4.1 系列的站点应立即升级对于仍在使用 3.x 的站点建议以 docs/upgrade/4.0.rst 为起点启动完整升级流程。任何安全问题请通过邮件securitydjango-cms.org与官方安全团队联系。【免费下载链接】django-cmsThe easy-to-use and developer-friendly enterprise CMS powered by Django项目地址: https://gitcode.com/gh_mirrors/dj/django-cms创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考