JimuBI 积木大屏 v2.5.6 发布，修复 7 项安全漏洞
#### 项目介绍真正的 AI 大屏来了，一句话描述需求，AI 自动生成数据大屏与仪表盘，支持对话式修改优化 ✨
积木报表是一款免费的数据可视化报表工具，像搭积木一样完全在线设计。分三大模块：JimuReport 主攻复杂报表与打印，**JimuBI 专注数据大屏与仪表盘可视化**，JimuChatBI 提供对话式智能数据分析。
- **AI 智能生成**：一句话生成大屏、仪表盘和门户，告别繁琐拖拽。
- **全场景覆盖**：大屏、仪表盘、门户、移动端一次开发、多端适配。
- **类 Word 大屏设计**：组件随意拖动、自由组合，轻松做出炫酷大屏。
- **丰富的数据集**：支持 SQL、API、JSON、WebSocket 等数据集，兼容主流及国产信创数据库。
**当前版本：v2.5.6 | 2026-11-01**
> ⚠ **本次包含多项安全修复**（仪表盘配置与数据集匿名读取、请求签名复用、内网地址访问、SQL 注入等），强烈建议所有用户升级到 v2.5.6。
#### 依赖坐标
springboot3
```
<dependency>
<groupId>org.jeecgframework.jimureport</groupId>
<artifactId>jimubi-spring-boot3-starter</artifactId>
<version>2.5.6</version>
</dependency>
```
springboot4
```
<dependency>
<groupId>org.jeecgframework.jimureport</groupId>
<artifactId>jimubi-spring-boot4-starter</artifactId>
<version>2.5.6</version>
</dependency>
```
springboot2（不支持 AI 助手）
```
<dependency>
<groupId>org.jeecgframework.jimureport</groupId>
<artifactId>jimubi-spring-boot-starter</artifactId>
<version>2.3.2</version>
</dependency>
```
> ⚠ **版本配套**：积木报表、积木BI、JimuChatBI 签名方案同源，同时集成时请一起升级（积木报表 `2.5.6` + 积木BI `2.5.6` + JimuChatBI `1.2.0`），否则会出现验签失败。
#### 升级日志
继 v2.5.4 之后，v2.5.6 重点围绕**分享页与匿名访问安全**做了一轮系统加固，堵住了仪表盘配置、数据集 SQL 可被匿名读取等多个漏洞；同时解决了分享大屏挂久了取数报「签名不匹配」、多窗口只有一个能收到 WebSocket 推送等客户反馈较多的问题，并对数据集权限校验和使用数量统计做了性能优化。
**一、安全加固**
- 修复仪表盘查询接口在未登录时可读取任意仪表盘配置的问题，匿名访问现在必须持有有效的分享链接，返回内容中的敏感信息会被隐藏（GHSA-4gwq-w639-8jcc）
- 修复未登录用户可借助请求签名读取任意数据集 SQL 并取数的问题，匿名访问只允许查看已分享或模板页面中用到的数据集（GHSA-g663-2fcq-qq94）
- 加强请求签名校验，修复签名可被复用到其他请求、时间戳可伪造的问题
- API 数据集和 AI 接口增加出站地址校验，防止被用来访问服务器内网地址，规则与积木报表保持一致（GHSA-5g5g-43q2-g87v）
- 修复大屏取数接口筛选条件存在 SQL 注入风险的问题
- 修复大屏取数接口数据集参数值存在 SQL 注入风险的问题
- 签名秘钥治理：前端不再内置固定秘钥，改为从后台获取短期签名票据并自动续期，解决后台自定义秘钥后敲敲云模式验签失败的问题
**二、分享与签名问题修复**
- 修复匿名分享的大屏挂 1~2 小时后取数报「签名不匹配」的问题，分享页现在可免登录自动续期签名
- 修复页面签名过期后，首个请求和 AI 对话弹窗请求失败的问题
- 修复分享仪表盘访问时提示「无权限访问该数据集」或「Token 已过期或无效」的问题
- 修复开启分享口令的链接匿名打开时提示「未授权访问该仪表盘」的问题
- 修复分享页免登录访问时请求头传入无效值、分享租户设置不生效的问题
**三、大屏与组件修复**
- 修复大屏同时打开多个窗口时，只有一个窗口能收到 WebSocket 实时推送数据的问题（issues/4831）
- 修复大屏使用 WebSocket 数据集时，组件推送标识每天都会变化的问题（issues/4830）
- 修复大屏组件跳转联动配置为「本窗口打开」，实际点击却在新窗口打开的问题（issues/4779）
- 修复大屏预览和设计器中，组件自定义 JS 脚本点击无反应的问题
- 修复数值、文本、时间组件在浏览器暗黑插件下文字仍为黑色、看不清的问题
- 修复 HTTPS 反向代理只传 `X-Forwarded-Proto` 时，页面资源仍按 http 加载导致白屏的问题（issues/4786）
- 修复表单接口查询字段大小写不一致导致取不到数据的问题
- 修复大屏/仪表盘定时刷新时，登录失效导致后台日志大量刷屏的问题
**四、功能优化**
- 数据集修改后，自动同步到引用该数据集的组件，无需逐个重新选择数据集（issues/4756）
- 优化分享页访问数据集时的权限校验，访问量大时不再拖慢数据库，单次校验从约 5 秒降到毫秒级
- 优化数据集列表「被大屏使用数量」统计，加载速度从数十秒提升到秒级
- 精简组件保存的配置内容，组件配置数据体积减少约四成
- 清理已下线的 3D 地图、VR 看房组件遗留文件
#### AI 一句话生成大屏
内置 Claude Code 积木 Skills，一句话即可生成大屏和仪表盘，支持对话式修改优化，上传截图也能还原成可编辑模板：
- `jimubi-bigscreen`：一句话生成大屏，如「做一个智慧物流监控大屏」
- `jimubi-dashboard`：一句话生成仪表盘 / 门户，如「生成一个销售运营 KPI 看板」
安装方式见积木 Skills 官网：https://jimureport.com/skills
#### 代码下载
https://github.com/jeecgboot/JimuReport
#### 技术文档
- 快速集成：https://help.jimureport.com/quick.html
- 官方网站：http://jimureport.com
- 报表示例：http://jimureport.com/reportDemo
- 在线体验：http://jimureport.com/login
- 积木 Skills：https://jimureport.com/skills
#### 为什么选择 JimuBI?
**永久免费・AI 智能・全场景覆盖** —— 一句话生成大屏，类 Word 拖拽设计，大屏、仪表盘、门户、移动端一应俱全，几十种图表自由组合，是 DataV、帆软的开源替代方案，低代码时代的数据可视化首选！
#### 积木BI工作台
#### 大屏设计效果
##### BI 大屏高级效果
一、点击详情时，弹出另外一个大屏列表页
全屏弹框
自适应弹框
二、5 分钟自动切换下一个，炫酷的动态切换效果
三、通过高德地图实现，结合业务数据，展示车辆实时位置
页:
[1]