NocoBase 十月连发多版，修的低代码老毛病

低代码平台的更新日志大多平淡无奇，但开源无代码平台 NocoBase 十月这批版本里，藏着几条自托管用户不该略过的事项——其中一条和安全有关。以下内容均来自官方发布日志，属厂商口径，非第三方评测。

一、发生了什么

按官方时间线，10 月 6 日到 22 日，稳定分支从 v2.2.21 连发到 v2.2.31，另有测试分支同步推进。挑重点说。

10 月 18 日的 v2.2.28 最值得注意：升级数学表达式库，修复了工作流计算节点里的一个沙箱逃逸漏洞。自托管环境里，工作流常被用来跑各类计算，这个洞意味着表达式可能越过沙箱执行，建议尽快升级到包含此修复的版本。

同一版本还修了权限保存的坑：在 V2 界面里保存权限时，路由勾选状态异常，可能导致 V1 体系里已有的权限意外丢失。权限类 bug 的危害在于不容易立刻发现，等发现时已经埋了一段时间。

AI 相关的修复在 10 月 22 日的 v2.2.31：AI 员工功能与 Qwen、DashScope 端点对接时存在编码兼容问题，会造成文档和查询的向量维度不匹配，知识库检索失效。注意厂商说明：之前受影响的数据库需要重新做向量化，不是升级完就自动恢复。

常规修复集中在数据层：10 月 11 日的版本修了 PostgreSQL 下无主键表按关系字段筛选加排序时的报错；文件管理器直传附件时丢参数、落回默认存储器的问题也在同版处理；工作流聚合节点重新打开时字段消失的老毛病同样在列。这几个都是自托管环境里高频踩到的坑。v2.2.31 还允许应用运行中重新绑定雪花 ID 的 worker 编号，并优化了工作流执行详情的加载性能，历史记录改成按需分页加载。

二、跟你有什么关系

自托管运维。 v2.2.28 的安全修复是升级的硬理由，其余版本可按实际用到功能挑选。

用 AI 员工建知识库的人。 用 Qwen 系模型做向量化的，升级后检查检索是否正常，异常就安排重新向量化——这一步没有捷径，坏掉的索引修不回来，只能重算。

低代码选型的人。 更新节奏和修复质量本身就是选型指标，这个频率说明项目活着且有人管。

三、怎么用

1. 看自己卡在哪个版本：低于 v2.2.28 的，直接安排升级，安全修复不等人。
2. 升级前备份数据库，特别是权限表和向量库，这两个是本次修复涉及的区域。
3. 升级后跑一遍冒烟测试：权限保存、工作流计算节点、AI 知识库检索，三处优先。

四、三个别信的说法

「小版本更新可以攒着不升。」 沙箱逃逸这种洞不等攒批，遇到安全修复号就该升。

「开源平台出 bug 正常，不用催。」 正常不等于放着，看官方响应速度和修复记录，才判断项目是否值得托付。

「AI 功能是噱头不影响核心。」 向量维度不匹配直接让知识库失效，AI 已经是这类平台功能链里的一环，坏了一条链路就断。

五、一句话结论

低代码平台的更新日志要当安全通告读，别只当功能清单看。

信息来源

• NocoBase 官方发布日志，2026-10-22
• 开源中国：NocoBase 更新汇总，2026-10-11

功能与价格以官方公告为准。本文写于 2026 年 10 月 25 日。