2.27.1 此版本包含安全更新，建议所有用户尽快升级。 问题修复 ● 修复升级 Halo 后登录、注册等页面可能仍使用旧版静态资源的问题 by @ruibaby in #10391 ● 修复按标签查询文章接口的响应文档和生成客户端类型错误地表示为单篇文章的问题 by @ruibaby in #10393 ● 修复在表单中嵌入编辑器时，点击气泡菜单等编辑器按钮可能触发表单提交的问题 by @ruibaby in #10398 ● 修复插件列表全选框使用文章管理权限判断的问题，使其与插件管理权限保持一致 by @ruibaby in #10400 ● 修复 HTTP/1.1 keep-alive 连接可能停止读取后续请求的问题，并保留本地化错误响应（升级 Spring Boot 至 4.1.2） by @JohnNiang in #10408 ● 更新 Docker 镜像中受影响的 eMudhra emSign 中间 CA 证书与根证书，避免继续信任私钥已泄露的证书（CVE-2026-91403） by @JohnNiang in #10414 依赖更新 ● 升级前端 HTML 净化与 Markdown 相关依赖（dompurify、sanitize-html、markdown-it）至安全修复版本 by @ruibaby in #10407 Full Changelog: v2.27.0...v2.27.1 via Release notes from halo (author: ruibaby)

● 修复主题重复选择后设置选项消失、主题列表无法关闭的问题，并在地址中保留所选主题 by @ruibaby in #10295 ● 修复删除用户后，其上传的头像文件未清理的问题 by @ruibaby in #10300 ● 修复删除存储策略后，关联附件无法删除且持续记录 404 错误的问题 by @ryanchou1994 in #10294 ● 修复评论详情中注册用户的昵称和头像显示不正确的问题 by @ruibaby in #10293 ● 修复菜单和分类父级异常时无法拖动排序的问题，并改善层级迁移后的状态保持 by @ruibaby in #10289 ● 修复禁用用户后，其个人访问令牌仍可访问 API，以及用户降权后令牌仍可保留超出当前权限的问题 by @ruibaby in #10362 ● 修复个人资料接口可修改邮箱、密码及两步验证等敏感字段的问题，资料更新仅允许修改显示名称和个人简介 by @ruibaby in #10364 ● 收紧用户管理权限，角色分配、密码重置及通过用户管理修改邮箱仅限超级管理员；新建用户统一使用注册默认角色 by @ruibaby in 8660db0 ● 注册默认角色不再支持超级管理员；若此前已配置为超级管理员，需改选其他角色，否则注册和使用默认角色创建用户将被阻止 by @ruibaby in #10357 ● 修复修改密码或管理个人访问令牌时安全验证弹窗的显示布局 by @ruibaby in #10352 ● 修复关闭开放注册后邮箱验证设置被隐藏的问题，并补充其对已有用户和个人访问令牌的影响说明 by @ruibaby in #10374 ● 修复私密回复状态未保留及未审核评论下的回复可能公开显示的问题 by @ruibaby in #10348 ● 修复首次启动中断后因 RSA 密钥文件不完整而持续启动失败的问题，支持自动恢复并尽可能保留原有密钥 by @ruibaby in #10373 ● 修复使用 Redis 会话存储时安全确认状态判断失效及 OAuth2 账号绑定失败的问题 by @JohnNiang in #10377 ● 修复 Console 评论列表中图片和长内容破坏布局的问题，过大的图片等比缩放，过长的内容支持折叠和展开 by @ruibaby in #10379 ● 修复富文本编辑器处理粘贴内容时的安全问题 by @ruibaby in #10380 开发者相关 ● 主题模板可通过 menuFinder.getByNames 批量获取菜单及其菜单项树 by @ruibaby in #10285 ● 已移除 ThumbnailProvider 接口及 thumbnail-provider 扩展点；插件需迁移到 AttachmentHandler.getThumbnailLinks() 和 attachment-handler 扩展注册 by @ruibaby in #10292 ● UI 插件构建工具已移除根入口导出和 HaloUIPluginBundlerKit；请从 /vite 或 /rsbuild 子入口导入，并安装所选构建工具及其 Vue 插件 by @ruibaby in #10290 ● 当前用户的资料、头像、邮箱验证和权限查询接口迁移至 UC API，原 Console 自助接口保留并标记废弃 by @ruibaby in #10364 依赖更新 ● 升级 pf4j 至 3.16.0 by @JohnNiang in #10335 ● 升级 Tiptap 至 3.32.0，并更新 ProseMirror 相关依赖 by @ruibaby in #10380 Full Changelog: v2.26.1...v2.27.0 via Release notes from halo (author: ruibaby)

2.27.0 新特性 ● 已启用 TOTP 或验证邮箱的用户，在修改密码和管理个人访问令牌前需安全确认；确认后 30 分钟内无需再次确认 by @JohnNiang in #10333 ● 为评论和回复提供统一固定链接，方便从通知和 Console 跳转到对应讨论 by @ruibaby in #10318 ● 支持在 Console 中编辑评论和回复 by @ruibaby in #10302 ● 编辑器图片集支持为单张图片设置替代文本 by @ruibaby in #10303 ● 编辑器图片集支持替换单张图片 by @ruibaby in #10304 ● 支持在编辑菜单项时切换链接、内置路由及内容类型 by @ruibaby in #10305 ● 菜单项支持绑定文章归档、分类列表和标签列表，主题路由设置变化后链接会自动更新 by @ruibaby in #10284 ● 上传附件前可修改文件名 by @ruibaby in #10288 ● Console 支持超级管理员以其他用户身份登录，并在切换期间显示提示横幅和退出入口 by @JohnNiang in #10354 ● 评论管理支持将评论和回复设为私密，并可在创建回复时选择私密回复 by @ruibaby in #10348 功能优化 ● 附件库复制的视频 HTML 默认包含播放控件 by @ruibaby in #10323 ● 附件库复制的音频 HTML 默认包含播放控件 by @ruibaby in #10324 ● 完善邮箱验证、注册登录、评论和附件上传等操作的多语言错误提示 by @ruibaby in #10320 ● 优化 Console 加载体验，无需主题信息的页面不再等待主题加载 by @ruibaby in #10296 ● 新安装的默认本地存储策略仅允许上传图片（不含 SVG）、视频和音频，单个文件最大为 200MB；已有站点的存储策略配置保持不变 by @ruibaby in #10365 ● 移除旧「用户设置」和「文章设置」中的附件存储项；仍使用旧配置的站点需改用「附件配置」中的对应策略和分组，旧个人中心上传接口也统一使用「个人中心附件配置」 by @ruibaby in #10346 ● 编辑器支持在表格自适应模式下调整列宽，保持表格总宽度为 100%，并在容器宽度变化后保留列宽比例 by @ruibaby in #10369 ● 缩短新生成的个人访问令牌（PAT）长度，已有令牌仍可使用至撤销或过期 by @JohnNiang in #10367 ● 超级管理员在 Console 用户管理中重置密码时不再需要二次安全验证，个人中心修改密码仍保留安全验证 by @ruibaby in #10368 ● 更新默认预置的评论、代码高亮、超链接卡片、AI 基础功能及应用市场插件版本 by @ruibaby in #10350 问题修复 ● 修复默认本地存储策略的配置在重启后被还原的问题 by @bedhere in #10253 ● 修复按作者筛选文章或页面时，未列出仅被设为作者但未参与编辑的内容的问题 by @ryanchou1994 in #10274 ● 修复投稿者可通过个人中心自行置顶文章或绕过发布权限的问题 by @ruibaby in #10344 ● 修复拥有文章或页面查看权限的用户无法预览他人创建的未发布内容的问题 by @ruibaby in #10337 ● 修复“待审核”评论筛选遗漏含待审核回复的评论树的问题 by @kindaokay in #10329 ● 修复公开评论详情接口返回 HTTP 500 的问题 by @ruibaby in #10315 ● 修复评论回复的置顶和排序优先级不生效的问题 by @ruibaby in #10314 ● 修复关闭评论或回复通知后仍收到回复通知的问题 by @ruibaby in #10313 ● 修复通过评论名称读取时可能访问无权查看的评论的问题 by @ruibaby in #10312 ● 修复激活其他主题后，主题管理页面未自动选中新主题的问题 by @ruibaby in #10306