漏洞概述 在FastGPT v4.15.0-beta5版本中，存在一个与S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 影响范围 使用S3存储且未正确配置私有对象Key绑定的用户。 修复方案 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 POC代码 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 其他修复 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文压缩逻辑。 支持快速回复的输出语法。 优化 HTML 输出后自动切换为预览，减少手动打开预览的操作。 优化应用、知识库、文件和文件夹等长名称显示：超出宽度时自动省略，并在 hover 名称时显示完整内容。 移除所有内置 LLM 请求中的 和 ，避免部分模型不兼容。 知识库训练出现错误时的提示，同时支持一键全部重试。 过滤掉无效的知识库引用角标。 工具运行响应时候，自动补充 "none"，避免部分模型报错。 系统工具运行前，再次进行二次权限校验。 优化重定向后 SSRF 校验。 修复 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文压缩逻辑。 支持快速回复的输出语法。 优化 HTML 输出后自动切换为预览，减少手动打开预览的操作。 优化应用、知识库、文件和文件夹等长名称显示：超出宽度时自动省略，并在 hover 名称时显示完整内容。 移除所有内置 LLM 请求中的 和 ，避免部分模型不兼容。 知识库训练出现错误时的提示，同时支持一键全部重试。 过滤掉无效的知识库引用角标。 工具运行响应时候，自动补充 "none"，避免部分模型报错。 系统工具运行前，再次进行二次权限校验。 优化重定向后 SSRF 校验。 修复 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文压缩逻辑。 支持快速回复的输出语法。 优化 HTML 输出后自动切换为预览，减少手动打开预览的操作。 优化应用、知识库、文件和文件夹等长名称显示：超出宽度时自动省略，并在 hover 名称时显示完整内容。 移除所有内置 LLM 请求中的 和 ，避免部分模型不兼容。 知识库训练出现错误时的提示，同时支持一键全部重试。 过滤掉无效的知识库引用角标。 工具运行响应时候，自动补充 "none"，避免部分模型报错。 系统工具运行前，再次进行二次权限校验。 优化重定向后 SSRF 校验。 修复 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文压缩逻辑。 支持快速回复的输出语法。 优化 HTML 输出后自动切换为预览，减少手动打开预览的操作。 优化应用、知识库、文件和文件夹等长名称显示：超出宽度时自动省略，并在 hover 名称时显示完整内容。 移除所有内置 LLM 请求中的 和 ，避免部分模型不兼容。 知识库训练出现错误时的提示，同时支持一键全部重试。 过滤掉无效的知识库引用角标。 工具运行响应时候，自动补充 "none"，避免部分模型报错。 系统工具运行前，再次进行二次权限校验。 优化重定向后 SSRF 校验。 修复 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文压缩逻辑。 支持快速回复的输出语法。 优化 HTML 输出后自动切换为预览，减少手动打开预览的操作。 优化应用、知识库、文件和文件夹等长名称显示：超出宽度时自动省略，并在 hover 名称时显示完整内容。 移除所有内置 LLM 请求中的 和 ，避免部分模型不兼容。 知识库训练出现错误时的提示，同时支持一键全部重试。 过滤掉无效的知识库引用角标。 工具运行响应时候，自动补充 "none"，避免部分模型报错。 系统工具运行前，再次进行二次权限校验。 优化重定向后 SSRF 校验。 修复 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文压缩逻辑。 支持快速回复的输出语法。 优化 HTML 输出后自动切换为预览，减少手动打开预览的操作。 优化应用、知识库、文件和文件夹等长名称显示：超出宽度时自动省略，并在 hover 名称时显示完整内容。 移除所有内置 LLM 请求中的 和 ，避免部分模型不兼容。 知识库训练出现错误时的提示，同时支持一键全部重试。 过滤掉无效的知识库引用角标。 工具运行响应时候，自动补充 "none"，避免部分模型报错。 系统工具运行前，再次进行二次权限校验。 优化重定向后 SSRF 校验。 修复 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文压缩逻辑。 支持快速回复的输出语法。 优化 HTML 输出后自动切换为预览，减少手动打开预览的操作。 优化应用、知识库、文件和文件夹等长名称显示：超出宽度时自动省略，并在 hover 名称时显示完整内容。 移除所有内置 LLM 请求中的 和 ，避免部分模型不兼容。 知识库训练出现错误时的提示，同时支持一键全部重试。 过滤掉无效的知识库引用角标。 工具运行响应时候，自动补充 "none"，避免部分模型报错。 系统工具运行前，再次进行二次权限校验。 优化重定向后 SSRF 校验。 修复 修复S3私有对象Key未绑定已鉴权资源时可能导致的跨源资源访问风险。 工作流工具，array 和 object 类型，工具调用参数 schema 异常。 发布渠道 - 门户，UI 偏移。 代码优化 增加系统处理字符串时的长度保护，如果长度过大停止继续同步替换，避免高CPU负载，可通过环境变量 调整上限。 新增内容 HTTP 节点支持配置忽略 TLS 证书校验，适用于调用使用自签名证书或内部证书的 HTTPS 服务。 支持目录深度环境变量，避免无限嵌套目录。 对话框支持快速滚动到底部按钮。 参考 Lobe UI 优化输出动效。 支持通过模型生成对话标题，需配置 变量。 调整 Skill Edit 编辑交互。 HTTP 节点支持返回完整错误对象。 agent 模式知识库搜索，支持权限过滤。 API 密钥逻辑优化，统一 APIKey 管理并由请求式传入应用上下文。 优化 agent 上下文