开源内容系统提前几天挂出安全补丁预告，这几天运维要做哪几件事

开源内容系统提前几天挂出安全补丁预告，这几天运维要做哪几件事？预告给的信息通常很少：一个时间窗口、一个风险级别，没有漏洞细节。以 Drupal 的公开服务公告为例，它写明 Webform 项目的安全补丁会在指定日期的几个小时内发布，风险提示里只说明本次发布中分值最高的一条评级为严重。预告的意义不在于提前知道修什么，而在于把这几天变成有准备的窗口。

先确认自己在不在范围内

预告里最关键的一句是项目名和版本分支。要做的第一件事是把这个模块的实际版本从站点上读出来，而不是按记忆判断。同类情况在自有系统里也一样：v3.6.6 之前存在列表排序参数被拼进查询语句的问题，判断是否受影响只能靠比对当前版本与该分支的修复记录，不能靠「最近没出问题」。

需要一起确认的还有依赖关系：模块是否被主题或自定义代码覆盖过。改过的模块升级时不一定顺利，这类冲突往往到发布当天才暴露。

把备份做到能直接回退的程度

预告窗口内第二件事是备份。范围要覆盖数据和上传的静态文件，只备数据库的站点在回退时会发现模板与附件对不上。AnQiCMS 的备份能力支持把数据连同静态文件一起带走，回退时按同一份记录恢复，避免两类内容来自不同时间点。

同时要确认回收站机制不能替代备份：删除正式文档是移入回收站，恢复的是被删掉的内容，而不是升级失败前的状态。两件事混在一起，容易在演练时被误判为已经准备好。

在副本上走一遍升级路径

第三件事是演练。把备份恢复到测试环境，按预告的版本走一次完整升级，重点看三处：表单类页面的提交是否正常、后台列表与筛选是否还有效、静态资源路径有没有被改动过。演练的成本远低于发布当天现场排查。

演练后要留一份可核对的清单：升级前的版本号、升级后的版本号、验证过的页面路径。发布当天只需按清单逐项打勾。

发布之后核对模块版本，而不是核对公告

补丁发布后第四件事是核对结果。预告窗口里通常会同时放出多条公告：Drupal 那一次 Webform 项目当天就有二十条，各自的修复版本并不相同。核对方式应当是逐个模块读取当前版本，与对应公告给出的修复版本比对，而不是看整体版本号有没有变。

第五件事是留出回退时间。发布当天不要连着做其他变更，把观察窗口留给表单提交、评论与留言这类会走模块代码的路径。若确实需要立即回退，用演练时确认过的那份备份，不要临时拼凑。

常见问题

问：预告没写漏洞细节，能提前判断风险吗？ 答：能判断到项目与风险级别这一层。据此确定准备范围与时间预算，具体触发条件要等正式公告。

问：窗口只有几小时，需要专门安排人值守吗？ 答：更实用的是把准备工作前置：版本核对、备份、演练清单在窗口之前完成，窗口内只做升级与验证两件事。

问：多个模块同时出补丁，先升哪一个？ 答：按风险级别与暴露面排序，先处理对外可提交、可读取的入口类模块，再处理只在后台生效的功能，升级之间留出验证间隔。