E.121. 版本 8.1.4 · PostgreSQL 中文文檔 9.3

# E.121\. 版本 8.1.4 > **發布日期:** 2006-05-23 這個版本包含各種自8.1.3以來的修復，包括對極其嚴重的安全問題的修補。關于8.1主版本的新特性信息，請查看[Section E.125](#calibre_link-247)。 ## E.121.1\. 遷移到版本 8.1.4 運行8.1.X的用戶不需要轉儲/恢復。不過，如果你是從一個早于8.1.2的版本升級而來，那么請查看8.1.2的版本聲明。針對CVE-2006-2313和CVE-2006-2314中描述的SQL注入攻擊的完全安全可能需要在應用的代碼中修改。如果你有應用嵌入了不可信的字符串到SQL命令中，你應該盡快檢測它們，以確保它們使用推薦的逃逸技術。在大多數情況下，應用應該使用庫或驅動（比如libpq的`PQescapeStringConn()`）提供的子例程執行字符串逃逸，而不是依賴于_ad hoc_代碼完成逃逸。 ## E.121.2\. 修改列表 * 修改服務器以在所有情況下都拒絕無效編碼的多字節字符 (Tatsuo, Tom) 雖然PostgreSQL已經朝這個方向發展了一段時間了，但是檢查現在才一致的應用到所有編碼和所有文本輸入中，并且現在總是提示錯誤而不只是警告。這個修改防范了CVE-2006-2313 中描述的SQL注入類型的攻擊。 * 拒絕在字符串文本中不安全的使用`\'` 作為服務器端防范CVE-2006-2314中描述的SQL注入類型的攻擊，服務器現在只接受`''`而不是`\'` 作為SQL字符串字面值中ASCII單引號的表示。缺省的，只在`client_encoding`設置為僅客戶端的編碼（SJIS、BIG5、GBK、GB18030或UHC）時拒絕`\'`，這也是SQL注入有可能發生的情節。一個新的配置參數`backslash_quote` 可用于在需要時調整這個行為。請注意，針對CVE-2006-2314 的完全安全可能需要客戶端側的修改；但是`backslash_quote` 的目的是在一定程度上讓不安全的客戶端明顯。 * 修改libpq的字符串逃逸例程，意識到編碼注意問題和 `standard_conforming_strings` 這為CVE-2006-2313和CVE-2006-2314中描述的安全問題修復了使用libpq 的應用，并且也提前防范了規劃的到SQL標準字符串文本語法的轉換。同時使用多個PostgreSQL連接的應用應該遷移到 `PQescapeStringConn()`和`PQescapeByteaConn()`，以確保為每個數據庫連接中使用的設置做了正確的逃逸。 "手動"做字符串逃逸的應用應該修改為依賴于庫例程。 * 修復pgcrypto中的弱鍵選擇 (Marko Kreen) fortuna PRNG重播邏輯中的錯誤會導致一個可預知的會話秘鑰在某些情況下被 `pgp_sym_encrypt()`選擇。這只影響沒有使用OpenSSL的構造。 * 修復一些不正確的編碼轉換函數 `win1251_to_iso`、`win866_to_iso`、 `euc_tw_to_big5`、`euc_tw_to_mic`、 `mic_to_euc_tw`都在變化范圍上有損壞。 * 清理字符串中剩下的`\'`的使用 (Bruce, Jan) * 讓自動清理在`pg_stat_activity`中可見 (Alvaro) * 禁用`full_page_writes` (Tom) 在某些情況下，讓`full_page_writes`關閉會導致崩潰恢復失敗。一個適當的修復將在8.2中出現；現在只是將它禁用了。 * 各種規劃器修復，尤其是位圖索引掃描和MIN/MAX最優化 (Tom) * 修復合并連接中不正確的最優化 (Tom) 外連接有時會發出多次未匹配行的拷貝。 * 修復在相同的事務中使用和修改plpgsql函數的崩潰 * 修復B-Tree索引被截斷情況下的WAL重放 * 為包含`|`的模式修復`SIMILAR TO` (Tom) * 修復`SELECT INTO`和`CREATE TABLE AS`，以在缺省表空間中創建表，而不是在基礎目錄中 (Kris Jurka) * 修復服務器，以正確的使用自定義DH SSL參數 (Michael Fuhr) * 改善快速排序性能 (Dann Corbit) 目前這個代碼只在Solaris上使用了。 * 修復x86系統上的OS/X Bonjour (Ashley Clark) * 修復各種小的內存泄露 * 修復密碼提示在某些Win32系統上的問題 (Robert Kinberg) * 改善pg_dump對域的缺省值的處理 * 修復pg_dumpall以合理的處理命名相同的用戶和組（只在從早于8.1的服務器上轉儲時是可能的） (Tom) 用戶和組將帶有`LOGIN`權限被合并到一個角色中。以前合并的角色不會有`LOGIN`權限，使其不能用作一個用戶。 * 修復pg_restore `-n`，以作為記錄工作 (Tom)