从最早的《bensz-channel 项目介绍》，到 v1.34.x 把暗色主题、图片上传和后台体验逐步打磨，再到《bensz-channel 近期迭代进展（v1.38.0 → v1.40.0）》里的评论线程、头像和手机阅读，以及上一期 v1.40.1 → v1.42.0 的长文目录、标签订阅与搜索发现，这个小项目的轮廓已经越来越清楚：让内容有地方持续积累，也让小伙伴们愿意回来读、回来交流。 上次聊到的是把这些基础能力搭起来，这次接着往下看，更新的重心落到了日常使用的细节，以及一个必须认真对待的安全问题上。

这轮最值得关注的，是 v1.42.7 针对近期 PHP 严重漏洞完成了安全修复；与此同时，首页和频道终于可以继续翻阅旧文章，长文目录支持按层级展开，RSS 对特殊字符的处理更可靠，通过 AI 工具远程发文也补上了防重复和异步通知。沿着上一期已介绍的 v1.42.0 往后算，截至 2026 年 11 月 1 日，主分支新增了 16 个 commit、6 个正式 GitHub Release，最新版本是 10 月 23 日发布的 v1.42.7。下面挑与大家最有关系的变化，好好聊一聊。

1 PHP 安全更新：这一版建议认真升级

先说这次最重要的事情。10 月 PHP 官方披露了两项严重安全问题，项目发布说明中将相关风险称为 PHP2Shell，对应 CVE-2026-109618 和 CVE-2026-109619。它们涉及 PHP 运行时的内存与跨请求状态处理，在特定条件下可能带来远程代码执行风险。对一个放在公网上、长期承载文章和账号数据的社区，这类更新的优先级显然要放在前面。

v1.42.7 已把 Web 服务和后台任务使用的 PHP 基线更新到修复后的 8.4.27，并固定了基础镜像版本。 同时收紧了脚本执行入口，关闭了与这次风险有关的上传进度功能，进一步限制上传目录等位置执行脚本的可能性。正常的图片、视频上传能力仍然保留，已有的大小设置也没有因为这轮加固而被缩减。

这次还一并处理了应用框架、网络请求组件、前端依赖和登录服务中发现的已知依赖漏洞，并调整了镜像构建规则，避免把运行环境文件、私有配置和临时资料打进镜像。对普通读者，这些变化未必会在页面上多出一个按钮；对自己搭站的小伙伴，它们关系到的是账号、内容和部署凭据的安全边界。我觉得，这部分工作值得比新界面更认真地交代。

升级时有一个关键点：需要实际更新镜像并重新创建相关容器，单纯重启旧容器，里面的 PHP 不会自动变成新版。 项目开发者文档已经补上重建和运行后验证步骤，Web 与后台 worker 都要覆盖到，登录服务也需要随本轮依赖更新重建。自己部署的朋友，建议按最新文档完成这一轮升级。

如果以前曾把包含真实环境配置的旧镜像推送或分发出去，还应检查其中的凭据是否需要轮换。这里提醒的是旧镜像可能携带配置的风险，并不意味着已经发生了入侵或泄露。新版也增加了相应的安全回归检查，用来确认补丁和限制确实进入了构建产物与运行环境。

2 旧文章有了翻页入口，内容积累终于接得上了

安全之外，我最想单独拿出来说的，是 v1.42.6 的文章分页。听起来很基础，但它解决的是一个内容社区越用越容易碰到的问题：新文章不断发布，旧文章却逐渐退到了列表之外。

此前首页“全部版块”只展示最新 12 篇文章，缺少继续向后翻阅的入口。文章本身还在，有直达链接也能打开；但一个刚来的读者，未必知道这里以前写过什么。想沿着某个项目往回看几个月的更新，经常只能靠手里的链接跳来跳去。

现在，首页和频道页都可以分页浏览，保留从新到旧的阅读顺序，并提供页码与前后翻页导航。首页仍以每页 12 篇控制信息密度，也显示文章总数；进入具体频道后，每页展示 20 篇，可以继续往前翻。比如你想回看“开发”频道里某个项目早期的讨论，就有了一条连续、清楚的浏览路径。

这一版也处理了游客访问时分页与静态页面的配合，避免明明点到了后面的页码，看到的却仍然是第一页内容。对于长期关注本站的小伙伴，变化就是能更顺畅地翻旧文；对于第一次来的读者，过去积累的内容也更容易被看见。一个准备长期写下去的地方，应该让旧文章一直有入口。 这次总算把这个基础环节补上了，哈哈。

3 长文目录可以逐层打开，手机上也更容易看清结构

上一期介绍过桌面端常驻右侧的文章目录。到了 v1.42.4，目录又往“真正适合读长文”这个方向走了一步：默认先展示一级标题，需要时再展开下一层。

如果文章只有三五个小节，目录全部铺开当然没有什么问题。但一篇教程或者研究讨论写长了，二级、三级标题加起来几十行，光在目录里找目标也会变成一件费眼的事情。现在可以先看清文章的大框架，再打开自己关心的部分，目录在长文里会更容易浏览。

原来的常驻侧栏和章节跳转继续保留，同时补上了展开、折叠的状态配合，以及打开章节链接时相关上级目录的自动展开。实际阅读时，你可以先快速了解文章在谈哪些问题，再进入其中一段细读；想换个方向，也能随时回到右侧目录继续走。

手机端这轮则重点调整了目录的层级缩进和导引线，让不同深度的标题更容易区分，尤其是标题编号变长时，层次感也能保持。对经常在手机上看长文的小伙伴，这些改动不算抢眼，但用到的时候会少一点辨认和来回寻找的负担。

4 RSS 更可靠：标题里的一个符号，不该打断订阅

喜欢用 RSS 的小伙伴，应该会关心 v1.42.5。这一版修复了标题、摘要或标签名包含 &、< 等特殊字符时，订阅源可能生成异常 XML 或访问失败的问题。

比如文章标题里写了一个 A & B，或者摘要讨论某个带尖括号的表达式，这些在正常写作里都很常见。过去处理不完整时，个别内容可能影响整条订阅源的解析，阅读器就有机会报错，或者无法正常取得新文章。

现在这类字符会按 RSS 的格式要求正确处理。写作者可以正常表达，订阅者也能更稳定地接收更新。 配合上一期已经补齐的频道、标签订阅，大家可以继续按自己的阅读习惯追踪内容，不必每次都来首页刷一遍。

5 远程发文更稳，通知也不用挤在发布请求里

bensz-channel 一直支持通过 Codex、Claude Code 等工具远程管理和发布文章。v1.42.3 重点打磨了这条链路，让“写好后直接发出去”这件事更可靠。

其中很实用的一项，是给文章创建加上了防重复提交保护。过去如果网络响应慢，工具端可能无法及时判断服务端是否已完成发文；同一次操作再次提交，就存在生成重复文章的风险。现在，远程发布请求携带相同幂等标识、提交相同内容时，可以复用已有的创建结果，降低因重试而重复发文的概率。

这项保护需要调用工具配合使用相应标识；它针对的是同一次创建操作的重复提交，不能替代发布工具本身谨慎处理超时的行为。对读者而言，收益很直接：减少内容流里重复出现同一篇文章、订阅体验被重复内容打断的机会。对经常让 AI 帮忙整理并发布文章的朋友，也少了一种事后收拾的麻烦。

另一项变化是，新文章的订阅通知转到后台队列处理，邮件服务不再需要与发布请求同步等待。这样既能减轻发布时长时间卡住的问题，也让“文章是否创建成功”和“通知是否完成投递”有了更清楚的边界。自部署时仍然要确保后台 worker 正常工作，通知才能按预期送出。

此外，v1.42.1 增加了后台站点时区设置，默认采用北京时间。文章发布时间、相对时间、RSS、搜索分享信息以及备份时间戳，都按站点选择的时区统一处理。它解决的是另一类不大、却很容易让人困惑的细节：同一篇文章，在不同位置看起来不该像是发在了两个时间。

6 这几次正式发布，可以这样回顾

如果想把这轮变化和版本对上，下面这张表就够了。日期统一按北京时间列出，功能归属以正式 GitHub Release 和实际代码为准。

这轮提交还补充了公网域名故障调查、部署说明和贡献记录，方便维护者回查问题与协作过程。上面这六项，则是大家阅读、订阅和维护站点时最值得关注的变化。

7 小结

回看这一轮，bensz-channel 的变化很实在：近期 PHP 严重漏洞得到了修复，基础依赖和镜像边界一并加固；首页与频道可以翻旧文，长文目录更容易浏览，RSS 和远程发文也少了几类容易打断使用的问题。我希望这个社区能一直保持轻巧，同时让内容越积越多以后，阅读、订阅和维护依然顺手。自己部署的小伙伴，建议优先完成 v1.42.7 的安全升级；平时来读文章的朋友，可以试着往后翻翻频道，或者展开一篇长文的目录。有什么用着别扭的地方，欢迎继续反馈 (～￣▽￣)～

项目 GitHub 地址：https://github.com/huangwb8/bensz-channel