大版本发布前老分支还剩几周安全支持，升级窗口该怎么排

「还剩几周安全支持」不是虚指，它有明确的算法：同一时间通常只有少数分支在收安全修复，一旦到了停支持那天，新暴露的漏洞不再有官方补丁，只剩临时防护。所以升级窗口要按「倒排」来排，先钉住停支持日，再往前留验证与回退时间。

支持窗口是按分支算的

发布计划里的安全发布窗口只覆盖特定几个分支，比如某系统当前只给若干条分支出安全修复；老分支会在新大版本发布那一周结束支持。这带来两个判断：其一，不是所有在用版本都在被保护，要确认自己的分支在不在窗口内；其二，停支持往往绑一个大版本发布日，那个日期就是硬边界。

停支持那天会发生什么

停支持不是当天站点就坏，而是从此没有官方安全补丁。已经公开的漏洞没人再修，新发现的漏洞也只有社区临时方案。风险是随时间累积的——越靠近边界还不升级，裸奔的窗口越长。

倒排升级窗口的三步

先定死日期，再从日期往回留缓冲。

分支在不在窗口内要先确认

排期前第一步是核对自己在用的分支是否还在收安全修复。多数发布计划会同时维护有限的几条窗口分支，落到窗口外的分支只是暂时还没出事，而不是不会出事。把「在用分支—是否在窗口—停支持日」三列对齐后，才知道哪一站要优先排，哪些还能按常规节奏走。

窗口里必须做的两件事

一是升级前做数据备份，回退全靠它，这一点和部署方式相关——用官方镜像、容器或面板部署的，回退路径更短更快，直接搭环境的要多留验证时间。二是升级后按版本说明处理登录凭证：安全版本升级往往要求轮换站点密钥、修改管理员口令，只升级不换凭证，攻击者已拿到的会话不会自动失效。自家近一个安全版本修掉了排序参数注入与登录凭证可被伪造两类高危问题，官方也建议升级时一并轮换密钥与改密，正好说明这两件事要一起做。

常见问题

问：分支还在窗口内是不是就不用急？ 要急。窗口内只是说现在还能拿到补丁，越晚升级留给验证与回退的时间越少，越容易踩到停支持那天。

问：停支持后还有别的办法吗？ 只有临时防护与自行缓解，不等于安全支持，仍需尽快升级到受支持分支。

问：升级要连带做什么？ 备份在前、验证在中、凭证轮换在后，三者都算升级窗口的一部分，缺一项回退就没底。