↑↓ 选择↵ 打开⌫ 切换范围完整搜索

PG.CENTER 连接 PostgreSQL 文档、百科与生态知识。由 Pigsty 维护。

PostgreSQL 资讯

保留原始来源与发布日期的新闻、博客和活动。

Lean 内核出现可构造 False 的健全性缺陷并已修复

发布于 2026-09-10T10:59:47.32849Z · Leonardo de Moura 博客 Lean 可信根 形式化验证

依赖形式化证明的系统把「内核拒绝非法项」当作信任根。Lean 官方复盘称，一份 AI 辅助生成、没有 sorry 的反 Collatz 证明利用了嵌套归纳类型参数缺检查的实现缺陷，因而能构造出 False。问题在报告后约一小时修复并发布补丁，只能经元编程直接向内核提交构造来触发。值得注意的是旧版独立检查器 nanoda 另有缺陷，说明多一个检查器并不等于可以不升级，关键证明应在两端重新校验。

阅读更多……

NetBSD 11.0 发布，稳定版首次支持 64 位 RISC-V

发布于 2026-09-10T10:59:47.323901Z · NetBSD 官方博客 NetBSD RISC-V 发布

这是操作系统的大版本，不是例行补丁。NetBSD 11.0 在稳定版里首次支持 64 位 RISC-V，新增面向极速启动的 x86 MICROVM 内核、Linux 兼容系统调用和 Snapdragon X Elite 的初步支持，会直接改动平台支持矩阵和交叉构建。项目还罕见地公开列出三个仍待回补的安全问题及其默认配置和规避条件，计划在 11.1 收口。启用了 PF 或 IPFilter、暴露音频设备节点的部署应先按公告采取规避。

阅读更多……

Rails Active Storage 的任意文件读取漏洞需要先轮换密钥

发布于 2026-09-10T10:59:47.318936Z · Rails 安全公告 CVE Rails 凭据轮换

上传加图片变体是很多 SaaS 默认开放的入口。CVE-2026-66066 让默认使用 libvips 的 Active Storage 应用被未认证攻击者借构造上传读取进程可访问的任意文件，进而拿到环境里的密钥，可升级为会话伪造乃至远程代码执行。修复版本是 activestorage 7.2.3.2、8.0.5.1 和 8.1.3.1，libvips 至少 8.13。仅升级不够，可被进程读到的密钥和凭据都应轮换。

阅读更多……

GiST 的多范围索引扫描可能漏掉匹配行

发布于 2026-09-10T10:59:47.316238Z · PostgreSQL hackers GiST 多范围 缺陷

索引扫描漏行是最难察觉的一类缺陷，因为查询照常返回结果。Peter Geoghegan 报告 GiST 在 multirange 上的索引扫描会漏返匹配行，并附上回归测试。Andrey Borodin 确认根因是 multirange_gist_consistent() 检查过严，处理并集范围时产生假阴性，建议改走内部多范围的一致性函数。Alexander Korotkov 又把内部判断精确成并集包含并集。

阅读更多……

用模板库克隆给每个测试单独开一个数据库

发布于 2026-09-10T10:59:47.310307Z · brandur.org CI 模板库 测试

数据库测试慢，多半慢在每个用例都重放一遍迁移。Brandur Leach 介绍 pgtestdb 的做法：先把迁移跑进一个模板数据库，之后每个测试用 CREATE DATABASE ... TEMPLATE 直接克隆一份，跑完即销毁，把 schema 初始化从应用层循环挪进服务端的复制路径。收益随库大小、连接池和并发变化，未必线性。要注意的是模板库不能有残留连接，也不该被普通客户端写入，扩展、角色、权限和大对象的行为都要单独验证。

阅读更多……