OpenProject 17.4.0 版本发布解析Jira 迁移器自定义字段、Backlog 桶、displayId 字段与 8 项安全修复【免费下载链接】openprojectOpenProject is the leading open source project management software for product, project and portfolio management. A powerful Jira alternative with agile planning, issue tracking, roadmaps, Gantt charts, time tracking, collaboration features, and more. Available on premises or in the cloud. ⭐ Star us on GitHub项目地址: https://gitcode.com/GitHub_Trending/op/openproject本文基于仓库中的 17.4.0 版本发布说明发布于 2026-04-23完整解读该版本的七项功能变化、三项面向 API 开发者与集成方的技术更新、8 个已修复的安全漏洞CVE以及完整变更清单并结合仓库源码印证displayId字段、会议 API 端点与 Webhook 密钥等关键实现。读完后你能够评估升级到 17.4.0 的收益与必要动作尤其是 Docker 环境下必须设置的SECRET_KEY_BASE、指导 API V3 客户端迁移到displayId字段并理解 Jira 迁移器 Beta 版的当前能力边界。1. 版本概览OpenProject 17.4.0 是一次以“安全修复 迁移能力 Backlog 体验升级”为主线的版本。官方建议所有实例升级到该版本因为其中包含多项安全修复。版本的核心主线有三条Jira 迁移器正式可用Beta不再需要功能开关即可使用并首次支持基础自定义字段的迁移Backlog 与 Sprint 体验重构新增 Backlog 桶、卡片拖拽与一键侧边栏、Sprint 头部操作按钮等为 17.5 的语义化工作包编号做铺垫API V3 提前暴露displayId字段并为 GitHub/GitLab 集成引入 Webhook 密钥。2. 重要功能变化2.1 Jira 迁移器支持基础自定义字段迁移Beta自 17.4 起Jira Migrator 不再依赖功能开关feature flag可以直接使用。需要明确的是该功能尚处于 Beta 状态它已经可以测试官方强烈建议先在非生产环境中验证。本期迁移器新增的核心能力是基础自定义字段的迁移包括在 OpenProject 中存在对应字段类型的自定义字段例如文本text数字numbers日期dates单选列表select lists这有助于把 Jira 中的既有数据结构完整迁移过来迁移后工作包结构保持一致。官方表示将在后续版本中继续扩展更多自定义字段类型以实现更完整的迁移。迁移器的操作细节可参阅 Jira 迁移文档。另外如果用户愿意分享匿名化的迁移器使用数据以支持开发可以通过官方联系方式建立联系官方表示可签署 NDA 保证保密。下图为迁移后工作包中已导入 Jira 自定义字段的实际效果2.2 Backlog 与 Sprint 视图中的 Backlog 桶Backlog BucketsBacklog 桶现已可用。它允许把 Backlog 中的工作包分组到可命名的结构化列表中每个桶都可以单独命名帮助把大型 Backlog 拆分为可管理的段落从而更容易地优先排序并聚焦特定分组。工作包支持在桶之间移动在每个桶内部排序随优先级变化随时调整。从源码结构看该功能由 backlogs 模块中的持久化模型承载见 BacklogBucket 模型桶作为一等对象参与 Backlog 的查询与排序这也是本版本大量修复围绕“桶状态保持、分页加载后拖拽”等交互细节展开的原因见第 5.2 节。2.3 Backlog 卡片可拖拽 单击打开侧边栏Backlog 卡片现在完全支持拖拽在 Backlog 梳理和 Sprint 规划期间移动工作包更加直接。与此同时保留了快速查看入口单击卡片即可在侧边栏side panel中打开工作包快速查看与编辑细节而不丢失当前上下文。2.4 Sprint 头部的 Start / Complete 按钮现在可以直接在 Sprint 头部点击相应按钮来开始Start或完成Complete一个 Sprint。这些操作入口更醒目Sprint 状态一目了然。需要注意这些按钮表示的是“你可以执行的操作”如开始或完成一个 Sprint而不代表当前的 Sprint 状态。2.5 工作流 UX 改进把一个角色的工作流设置复制到其它角色可以通过一个专用对话框把某个角色的工作流设置复制到一个或多个其它角色。这便于在多个角色之间应用一致的工作流减少重复的手工配置。关于工作包工作流的完整管理方式请参阅 工作流系统管理指南。2.6 项目概览与首页新增“My meetings”小部件新的“My meetings”我的会议小部件会直接在首页Home和项目概览Project Overview页面上显示你即将参加的会议以最少的相关信息帮助你掌握日程并快速进入会议。请注意一项移除变更随着本次更新首页上显示新注册用户的Users 小部件已被移除由新的 “My meetings” 小部件替代。2.7 演示/试用项目的默认模块更新演示Demo与试用Trial项目默认启用的模块已更新Demo 项目默认启用 Budgets预算与 Calendars日历Scrum 项目默认启用 Meetings会议。官方提示部分新启用模块的示例内容可能暂时不可用。3. 重要技术更新面向 API 与集成开发者3.1 API V3为 17.5 做准备用displayId渲染工作包编号这是 17.4 对 API V3 客户端最重要的前瞻性提示。作为简化 Jira 迁移工作的一部分17.5 将引入基于项目的语义化工作包编号如#ABC-123。为此17.4 先在 API V3 中暴露了专用字段displayIddisplayId工作包当前的面向人类展示的编号。凡是渲染给最终用户看的链接或说明文字API 客户端都应使用它id继续返回内部数据库 ID仍应用于过滤等 API 请求。17.5 起管理员将可以从当前数字编号如#12345切换到项目级编号如#ABC-123届时displayId会根据实例配置返回正确的编号格式。也就是说现在改好客户端用displayId未来切换编号格式时零改动。仓库源码印证了这一设计。在 API V3 工作包表示器 中id与displayId被定义为一对独立属性displayId通过render_nil: true与字符串 getter 输出property :id, render_nil: true property :display_id, as: :displayId, render_nil: true, getter: -(*) { display_id.to_s }且linkschildren、ancestors等中每个条目也附带displayId保证客户端在任何层级渲染标题时都有人可读的编号可用见 表示器 links 定义。其取值逻辑在 语义化编号模型 中# In semantic mode: the project-based identifier (e.g. PROJ-42) # In classic mode: the numeric database ID def display_id WorkPackage::SemanticIdentifier.display_id_for(id, identifier) end即语义化模式下返回项目级编号如PROJ-42经典模式下返回数字主键formatted_id在其基础上补充展示格式。值得注意的是源码注释 明确说明 API v3 有意绕开to_param的语义化路由、显式传递id:参数使 HAL self-link 对 API 消费方保持数字且稳定——这与文档中“id字段继续返回内部数据库 ID”的约定完全一致。3.2 会议与循环会议 APIv3 端点17.4 为meetings会议与recurring meetings循环会议提供了新的 APIv3 端点覆盖议程项agenda items、章节sections与实例occurrences的管理实现对会议数据的完整 API 访问。仓库中 会议模块的 APIv3 目录 可直接验证端点覆盖面包含meetings、recurring_meetings、meeting_agenda_items、meeting_sections、meeting_outcomes、attachments等资源表示器。这意味着第三方集成如日历、IM 机器人可以仅凭 API 完成议程编排与结果落库。3.3 GitHub 与 GitLab 集成支持 Webhook 密钥现在可以为GitHub 和 GitLab 集成配置 Webhook 密钥webhook secret用于校验入站 Webhook 请求的真实性提升安全强度。从源码实现看GitHub 集成的 Hook 处理器 从插件配置中读取webhook_secret若未配置则跳过校验若配置了密钥则按 HMAC-SHA256 规则计算期望签名并与请求头比对secret plugin_settings[:webhook_secret].presence return true if secret.blank? ... expected sha256#{OpenSSL::HMAC.hexdigest(SHA256, secret, request.raw_post)}配置项本身出现在 集成设置表单 中webhook_secret字段。从源码结构看该设计是“可选启用”未设置密钥的存量集成不受影响管理员可增量加固。4. 安全修复8 个 CVE本版本包含多项安全修复以下是完整列表。若通过 Docker 部署4.1 节涉及一项强制性管理员动作。4.1 CVE-2026-46386Docker 容器以默认 SECRET_KEY_BASE 启动风险攻击者若知道应用派生内部密钥所用的 secret key base就可以构造加密 Cookie服务端此前使用 Object MarshallingRuby Marshal 解码这些 Cookie从而允许攻击者在容器内执行近乎任意的 Ruby 代码直至完整的远程代码执行RCE。在随默认值未手动覆盖分发SECRET_KEY_BASE的 Docker 容器中该问题尤为突出。修复Docker 容器现在会校验是否设置了正确的SECRET_KEY_BASE环境变量否则应用会带着错误信息中止启动加密 Cookie 的解码方式已从 Object Marshalling 改为JSON 编码文档同步更新强调必须设置该变量。仓库源码印证了“默认值”的存在生产 Dockerfile 中即带有占位默认值# Set a default key base, ensure to provide a secure value in production environments! ENV SECRET_KEY_BASEOVERWRITE_ME而资产预编译脚本演示了正确密钥的生成方式precompile-assets.shSECRET_KEY_BASE$(openssl rand -hex 64)可作为自生成密钥的参考做法。管理员强制动作此前未设置SECRET_KEY_BASE的实例现在必须设置否则应用无法启动。并且由于密钥变更会令旧 Cookie 失效所有使用双因素认证2FA的用户在下次登录时将被强制重新通过 2FA即使他们之前持有“14 天内跳过 2FA”的 Cookie。按安装方式的设置指引安装方式说明Packaged 打包安装该密钥已自动生成不受影响Docker-compose在.env文件中添加SECRET_KEY_BASEyour-secret-key-baseDocker All-in-One在docker run调用中添加SECRET_KEY_BASEyour-secret-key-baseHelm-charts13.5.4 及以上版本会自动用随机字符串创建 Kubernetes Secret若之前未用SECRET_KEY_BASE建议升级到最新 Helm 版本已有强密钥的用户可保持现状也可按 Helm chart 文档将其作为existingSecret传入该漏洞由 GitHub 用户 hkolvenbach 负责任任地报告对应公告编号 GHSA-r85r-gjq2-f83r。4.2 CVE-2026-44696经Sanitize::Config::RELAXED[:css]的存储型 CSS 注入OpenProject 富文本Markdown渲染管线使用Sanitize::Config::RELAXED[:css]做内联样式净化该配置几乎允许style属性上的所有 CSS 属性作用对象为允许的 HTML 元素如figure、img、table、th、tr、td。这使得任何拥有可格式化文本字段工作包描述、评论、项目描述、新闻写权限的认证用户都能注入 CSS用于构造钓鱼覆盖层phishing overlays并实施数据外泄data exfiltration。报告者GitHub 用户 NOTTIBOY137公告编号 GHSA-j9q2-49mp-hmq5。4.3 CVE-2026-44731会议过滤器泄露用户名/projects/[projectName]/meetings的过滤器功能中GET 参数filters内的invited_user_id会泄露某个用户 ID 是否对应有效账户并披露该用户的全名攻击者可通过遍历用户 ID、观察响应差异来枚举实例中的全部用户账户。报告者tuannq_ggYesWeHack OpenProject Bug Bounty 计划欧盟委员会赞助公告编号 GHSA-x7j3-cfgf-7mc4。4.4 CVE-2026-44732文档 API 的 IDORPATCHproject_id/api/v3/documents/{id}的更新端点存在 IDOR目标文档加载时做了可见性检查但更新阶段受控属性在授权被强制之前就应用到持久化记录上。结果是在源项目中没有:manage_documents权限的用户可以在单个 PATCH 请求中通过设置project_id移动并修改他人项目的文档未授权资源修改。报告者sam91281YesWeHack 计划公告编号 GHSA-mqvv-5mvc-7pg7。4.5 CVE-2026-44733PATCH /api/v3/users/me绕过密码强度要求修改密码的行为存在校验缺陷攻击者在**已获取活跃会话会话劫持**的前提下可以仅凭有效会话绕过密码要求修改用户密码。报告者herdiyanitdevYesWeHack 计划公告编号 GHSA-px7f-cj9f-7m4m。4.6 CVE-2026-44734成本报告重命名/更新缺少授权/projects/[PROJECT_NAME]/cost_reports/[REPORT_ID]/rename对应的 CostReportsController 存在缺失授权rename与update动作允许任何认证用户在系统内修改任意公共成本报告的名称、过滤器与分组且不校验所有权或权限级别。发现或猜出某公共报告数字 ID 的攻击者可在报告所有者毫无感知的情况下重命名或覆盖其过滤器配置。报告者herdiyanitdevYesWeHack 计划公告编号 GHSA-c767-34gh-gh2h。4.7 CVE-2026-44735Shares API 信息泄露GET /api/v3/shares端点向任何拥有view_shared_work_packages权限的用户返回项目中所有工作包的共享细节。授权检查仅发生在项目级别——它并不验证请求用户是否真的能查看每一个具体的共享工作包从而造成信息泄露。报告者GitHub 用户 DAVIDAROCA27公告编号 GHSA-cfg3-f34w-9xx5。4.8 CVE-2026-44736Relations API 过滤绕过可见性作用域GET /api/v3/relations端点允许任何认证用户在involved、fromId或toId过滤器中传入任意工作包 ID从而取回关系以及自己无权查看的工作包的 subject标题。该漏洞源于RelationQuery中一处有缺陷的性能优化导致绕过Relation.visible作用域。报告者GitHub 用户 mlgzackfly公告编号 GHSA-p9gq-hrgh-2645。5. 完整变更清单5.1 新功能Feature新增 meetings 与 recurring meetings 的 APIv3 端点#32280合并并重新设计 MyAccount 区域的“Notification settings”与“Email reminders”页面#65404工作包删除确认框替换为危险操作对话框#67506工作流 UX 改进把一个角色的工作流设置应用到另一个角色#72383项目创建或更新时设置项目标识符的 UX 改进#72855项目复制时设置项目标识符的 UX 改进#72856“Backlog and sprints”视图中的 Backlog 桶#73081工作包表格的 Sprint 列、排序与分组#73104Jira Migrator 导入自定义字段#73147认证模块中的危险区域danger zones替换为危险对话框#73355允许为 GitHub 和 GitLab 集成配置 Webhook 密钥#73387Sprint 头部提供开始/完成按钮#73402密码要求设置更一致、更易理解#73461Backlog 卡片可拖拽 单击打开侧边栏#73473用户菜单中“Log out”前新增分隔线#73528“Move to next meeting”和“Duplicate in next meeting”对话框中显示章节选择器#73559Sprint 内工作包的限制性移动选项#73563项目概览与首页新增“即将会议”小部件并移除 Users 小部件#73684API 上暴露基于项目的语义化工作包编号displayId#73735项目/工作区选择器支持多子串搜索#741995.2 缺陷修复Bugfix按主题分组Backlog / SprintBacklog 的 more 菜单无法用方向键导航#72460点击“Load more”后拖拽工作包会恢复原始 Backlog 列表#73731工作包可被指派到已关闭的 Sprint#73750Sprint 列滚动条遮挡内容#73831工作包过滤器中 Sprint 过滤只加载 100 个 Sprint#74166Backlog 卡片拖拽预览内边距不正确#74195仅有“Manage sprint items”而无“Edit work packages”权限时无法在 Backlog 中移动工作包#74201Backlog 缺少“Load X more items”链接#74317Backlog 桶只有一个条目时“Move down”链接显示错误#74351新建 Sprint 或 Backlog 桶时未保持 Backlog 的 all 状态#74352Backlog 的 all 状态未传递给 Backlog 桶#74356工单详情页 Sprint 过滤只加载 25 个 Sprint#74516使用“完成 Sprint”对话框时丢失all参数#74636Board 上出现双滚动条#73714会议Meetings深链到会议结果outcome时未高亮#70319议程项使用“Move to next”/“Duplicate in next”时应跳过已关闭会议#73900已关闭会议缺少专门校验#74372Meeting.current_schedule_end计算错误#74729试用实例中播种的循环会议模板处于草稿模式#74150Jira 迁移Jira 导入过程中 401 错误对用户没有帮助#73844使 Jira Migrator 的 Beta 状态更醒目#74343项目迁移过程中用有意义的信息替代用户编号#74323工作包与共享My Page 中“分配给我的工作包”默认配置错误#57633无法创建自动生成主题的工单#72207相对 URL root 下删除带单位成本的工单报 500#72857共享选项表述更易懂#73706条件未满足时用户仍可执行自定义动作#74294工作包列表过滤器“include project”与 Portfolio 组合时报错#74536复制实例级共享的工作包会导致两个项目都成为实例级共享#74721共享通知邮件内容问题#74342项目 / Portfolio / 部署删除 calendar、board、team planner、role 后出现空白页与 404#68573从项目概览页编辑属性帮助文本后被重定向到帮助文本管理页#69142Helm-Chart 允许用户提供 service 级 annotations#71055项目列表导出的过滤器不生效#73841“Subproject of”宏失效#74676登录后配置的重定向authentication不生效#74756备份中“include attachments”复选框无法勾选#71237升级时迁移任务 20250929070310为既有角色补充 View all principals 权限失败#74539账户 / 安全 / 认证账户创建时收到明文凭据邮件#73849密码长度无上限#74399外部链接导致两个空白标签页/窗口#73914日历 / 导出 / 其他 UICalendar::ICalController#show中的 NoMethodError#71354工作包 PDF 导出的时间戳时区错误#74117预算“Planned Labor Costs”下按 Group 选择用户时保存报 500#74197复制工作流功能表单渲染/工作异常#58776列表只有一项时仍可滚动#59732项目选择器对读屏器不友好#61405通知“X days ago by Y user”中多余空格#63647浏览器打印时 Wiki 菜单仍然可见#67643其他用户的工作包搜索输入可见#69706删除版本缺少成功反馈#72719FieldsetGroups 缺少描述#73501缺少 EE 时 Onboarding 向导在 Team planner 处中断#73910浏览器标题在 70 字符后被截断#73986Details 标签导航箭头在首次选择后消失#74320文档中外部链接捕获capture不生效#71111Slack 集成未正确列在 Integrations 子级下#74355SCIM 用户 API 返回重复记录#734316. 社区贡献官方对以下社区致谢Helmholtz-Zentrum Berlin、City of Cologne、Deutsche Bahn 与 ZenDiS 赞助了已发布或即将发布的特性社区成员 Andreas H.、Madhu Reddy、Anna Mund 协助报告并定位缺陷。同时感谢社区贡献者 K. Uihlein 为 OpenProject GitLab 集成文档作出的贡献。本版本特别感谢翻译贡献者Samo土耳其语、NCAA丹麦语与 Christophe Gesché法语。如果你也想参与翻译可以参阅 OpenProject 翻译指南。7. 升级行动清单小结Docker 部署用户必须升级前确认已设置SECRET_KEY_BASECompose 写.envAll-in-One 写docker runHelm 用户建议升级到 chart 13.5.4未设置则 17.4 应用将无法启动且 2FA 用户将被要求重新验证API V3 客户端开发者建议把面向用户渲染工作包编号的逻辑从id切换到displayId为 17.5 的语义化编号如#ABC-123做好准备集成管理员可选加固为 GitHub/GitLab 集成配置webhook_secret启用 HMAC-SHA256 签名校验管理员体验关注首页 Users 小部件已被 My meetings 替换如计划做 Jira 迁移先在非生产环境试用迁移器的自定义字段迁移能力。【免费下载链接】openprojectOpenProject is the leading open source project management software for product, project and portfolio management. A powerful Jira alternative with agile planning, issue tracking, roadmaps, Gantt charts, time tracking, collaboration features, and more. Available on premises or in the cloud. ⭐ Star us on GitHub项目地址: https://gitcode.com/GitHub_Trending/op/openproject创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考