JeecgBoot V3.9.5 重磅发布：AI Flow、Online 全面升级，安全与性能再进阶

sharp_ai

前言

JeecgBoot V3.9.3 刚刚完成 Spring Boot 4 架构大升级，不到一周，V3.9.5 又接踵而至。这次并非简单修补，而是一次集中升级：Online 表单新增多数据源和外部填报，代码生成器模板大幅增强，AI 应用与 AI Flow 在模型接入、知识库、流程编排、分享 Token 和访问限流等方面全面提升，同时新增飞书集成和 OpenAPI 日志统计。

此外，V3.9.5 针对敏感接口权限、XSS、SSRF、SQL 注入、越权及脚本执行等安全风险进行专项加固，并完成 Oracle 驱动、Java 启动性能及页面体验优化，进一步提升系统的安全性、稳定性和开发效率。
项目介绍

AI Skills 自然语言编程全新发布：一句话生成完整代码、一句话画流程、一句话设计表单、一句话出报表与大屏、一句话生成整个系统，覆盖 JeecgBoot 低代码全场景。

JeecgBoot 是一款 AI 低代码开发平台，支持 "低代码 + 零代码" 双模式。零代码模式下，5 分钟零代码快速搭建完整业务系统； 低代码模式下，AI 自动输出前后端代码、建表 SQL 与菜单权限，生成即可运行。 平台内置 AI 应用平台：AI 聊天助手、知识库、流程编排、MCP、插件，兼容各大模型！具备 Skills 能力，一句话画流程图、设计表单、甚至生成整个系统！ 整体遵循 "AI 生成 → 在线配置 → 代码生成 → 手工合并" 的开发流程，解决 Java 项目中 80% 的重复工作，在大幅提升效率的同时又不失灵活性。

发版时间：v3.9.5 | 2026-08-27
源码下载

• Github 地址： https://github.com/jeecgboot/JeecgBoot
• Gitee 地址： https://gitee.com/jeecg/JeecgBoot

升级日志

JeecgBoot V3.9.5 是一次面向低代码、AI 应用、开放能力、安全性及性能体验的综合升级：Online 表单新增多数据源、外部填报及 Excel 图片导入等能力，代码生成器模板全面升级并支持更多前端 UI 组件；AI 应用与 AI Flow 在模型接入、知识库、流程编排、分享 Token 和访问限流方面得到显著增强；同时完善飞书集成、OpenAPI 日志统计与权限控制，升级 Oracle 驱动并优化 Java 启动及查询性能。此外，本版本围绕接口越权、敏感信息保护、XSS、SSRF、SQL 注入和脚本执行等风险开展专项漏洞治理，进一步提升系统的安全性、易用性和稳定性。

一、基础框架与数据库兼容

• 完成 Jackson 3、Tomcat 11 和 JDK 17 兼容适配，并升级 Oracle 驱动。
• 新增 Lettuce 支持并兼容 Lettuce、Jedis 灵活切换，优化 Redis 会话管理相关代码。
• 完善 MySQL、Oracle、PostgreSQL、SQL Server、达梦和 KingbaseES 多数据库兼容。
• 默认采用 lazy-initialization 启动，提高 Java 端启动速度。
• 修复升级 Tomcat 11 后 work 目录生成在项目目录的问题。

二、Online 表单与低代码

• Online 表单及 Online SQL 支持多数据源。
• Online 表单支持外部填报功能。
• AI 生成 Online 表单能力完善，支持模拟数据和数据库适配 SQL。
• Online 报表和图表支持 AI 生成与复制。
• Online 导入 Excel 支持图片方式，包括 embed 嵌入图片和 path 图片路径，并完善多图片、多文件导入及图片导出能力。
• 完善主子表、关联记录、Popup 字典及他表字段翻译能力。
• VXETable 子表支持 Popup 字典。
• Popup 字典新增 Input 显示模式。
• 完善一对多内部弹窗 JS、子表按钮权限、子表弹窗及附件上传能力。
• 完善一对一子表控件能力。
• 数据权限配置支持字典、日期、部门等字段控件。
• 完善高级查询、多选查询、关联记录查询和 Long 类型字段范围查询。
• 增加 Online 控件分组、公共表单联动组件及周、季度日期类型支持。
• 简化 Online 配置界面，降低配置复杂度，提升使用效率。
• 优化 Online 权限配置的搜索、全选和快速开关。
• 修复 Online 树表子记录层级、JS 增强编辑及查询规则等关键问题，提升表单运行稳定性。
• 加强 Online 报表、图表及排序参数的 SQL 安全校验。

三、代码生成器与前端组件

• 代码生成器模板大升级，支持生成更多前端 UI 组件。
• 新增 Popup 字典、关联记录等组件的代码生成支持。
• 关联记录组件支持全部数据表。
• TinyMCE 支持插入视频，JVxeTable 支持分组选择。
• 扩展表单权限规则值组件，增加通用 HTML 白名单净化工具。
• 修复动态表单 Schema 更新和上传组件必填校验问题。

四、AI 应用、RAG 与 AI Flow

• AI 应用模块大升级，支持应用复制、流程工具封装、插件管理、智能识别和图文混合生成。
• AI 应用支持分享 Token，并增加限流功能，防止恶意请求消耗 AI Token。
• 修复 JeecgBizToolsProvider 业务工具权限检查始终不通过的问题，保障 AI 应用正常调用业务工具。
• 优化 AI 应用知识库、记忆库、MCP 搜索、网页抓取及模型异常提示。
• 优化 AI 会话与流程运行稳定性，修复会话闲置后首次提问卡顿、停止输出报错、子流程参数及结果传递异常、MCP 调用后无法继续对话等问题。
• AI Flow 新增当前登录用户信息节点，知识库写入节点支持文件写入。
• AI Flow 脚本节点支持 AI 辅助编写脚本，SQL 节点增强变量绑定和多条件查询能力。
• 完善 AI Flow 子流程、入参、出参、变量提取、变量聚合及节点分组能力。
• 优化 AI Flow 循环节点调试和流程文件上传交互。
• AI 模型接入能力升级：更新 DeepSeek、智谱等平台支持的模型版本号，新增火山方舟接入，并完善通义千问、Kimi、MiniMax 和 GPT Image 2 等模型支持；同时增加 AI 模型复制功能。
• 修复千帆大模型接入问题，完善图片模型、MCP 和 Tool Calling 兼容性。
• 优化 AI 联网搜索的时效性及模型兼容性。
• 增加 AI 提示词回收站、彻底删除和 AI 库表 Schema 维护能力。

五、OpenAPI 与第三方集成

• 升级至最新版积木报表和积木 BI 大屏，完善报表及数据可视化能力。
• OpenAPI 功能完善，新增调用日志统计、日志详情、Header 展示和细粒度权限控制。
• OpenAPI 支持达梦数据库，完善微服务 Nginx 部署访问及 Docker 场景下独立后端自代理地址适配。
• 飞书支持消息发送、组织同步、第三方登录和配置管理。
• 钉钉、企业微信、飞书和短信支持异步发送。
• 修复未启用租户时企业微信 OAuth2 登录回调异常。
• 完善 CAS 登录回跳适配。

六、系统管理、性能与易用性

• 增加三级等保密码级别开关及密码复杂度配置。
• 优化用户、部门、岗位和租户数据管理。
• 优化用户及部门查询性能，减少重复查询和 N+1 查询。
• 页面默认采用模糊搜索，并优化弹窗高度自适应等交互体验。
• 修复前端字典刷新及字典选择组件多选回显问题。
• 优化审批角色分组用户展示及部门树搜索层级保留。

七、安全与漏洞专项

本次主干集中处理权限绕过、越权访问、敏感信息泄露、SQL 注入、远程代码执行、SSRF 及存储型 / DOM 型 XSS 等安全风险，已确认涉及 CVE-2026-5616、CVE-2026-8195、CVE-2026-9579、CVE-2026-9580、CVE-2026-9581、CVE-2026-9604、CVE-2026-10239、CVE-2026-10240、CVE-2026-11464、CVE-2026-19000、CVE-2026-67925、CVE-2026-67926 等公开漏洞；同时将 Apache Shiro 从 2.0.5 升级至 3.0.0、shiro-redis 从 3.2.3 升级至 4.1.0，纳入上游安全修复并强化路径匹配、会话及 Cookie 安全。积木报表未授权导出问题对应 CVE-2026-58375，相关修复将在积木报表后续版本中生效。

• 开展 AI 应用专项漏洞处理，强化模型、知识库、应用及匿名分享接口的鉴权。
• 为更多敏感功能接口增加默认权限注解，加强积木报表导出、用户回收站和 AI 聊天等接口的权限控制。
• 修复用户、部门、评论、校验规则、OpenAPI 及 BI 数据接口的越权和跨租户访问问题。
• 加强 LLM API Key 等敏感凭证的权限控制和脱敏处理。
• 加强数据源配置密码安全，接口不再返回明文密码。
• 修复 AI Flow 脚本节点远程代码执行风险。
• 修复 AI、OpenAPI、远程文件及图片处理相关 SSRF 风险。
• 加强富文本、Markdown、评论、Online 表单、AI 对话、SVG 文件上传及通知公告的 XSS 防护。
• 修复 SQL 注入检测绕过及 Online 报表 SQL 注入风险。
• 加强 Online 报表字典查询权限校验。
• 加强匿名 AI 聊天及远程文件访问控制。
• 修复 Excel 导入错误提示中的 HTML 注入风险。

为什么选择 JeecgBoot?

界内首款 AI 低代码开发平台，同时具备 AI 应用平台和低代码平台，通过 AI 驱动低代码开发！ 开源界 "小普元" 超越传统商业平台。引领低代码开发模式 (OnlineCoding-> 代码生成器 -> 手工 MERGE)，低代码开发同时又支持灵活编码， 可以帮助解决 Java 项目 70% 的重复工作，让开发更多关注业务。既能快速提高开发效率，节省成本，同时又不失灵活性。

• 1. 提供了一套完善的 AI 应用管理系统模块，是一套类似 Dify 的 AIGC应用开发平台 + 知识库问答，是一款基于 LLM 大语言模型 AI 应用平台和 RAG 的知识库问答系统。 其直观的界面结合了 AI 流程编排、RAG 管道、知识库管理、模型管理、对接向量库、实时运行可观察等，让您可以快速从原型到生产，拥有 AI 服务能力
• 2. 采用最新主流前后分离框架（Spring Boot3 + MyBatisPlus + Vue3.0 + TypeScript + Vite6 + Ant Design Vue4 ）等新技术方案。便于学习容易上手，代码生成器依赖性低，灵活的扩展能力，可快速实现二次开发。
• 3. 支持微服务 Spring Cloud Alibaba（Nacos、Gateway、Sentinel、Skywalking），提供简易机制，支持单体和微服务自由切换（这样可以满足各类项目需求）。
• 4. 开发效率高，支持在线建表和 AI 建表，提供强大代码生成器，单表、树列表、一对多、一对一等数据模型，增删改查功能一键生成，菜单配置直接使用。
• 5. 代码生成器提供强大模板机制，支持自定义模板，目前提供四套风格模板（单表两套、树模型一套、一对多三套）。
• 6. 提供强大的报表和大屏可视化工具，支持丰富的数据源连接，能够通过拖拉拽方式快速制作报表、大屏和门户设计；支持多种图表类型：柱形图、折线图、散点图、饼图、环形图、面积图、漏斗图、进度图、仪表盘、雷达图、地图等。
• 7. 低代码能力：在线表单（无需编码，通过在线配置表单，实现表单的增删改查，支持单表、树、一对多、一对一等模型，实现人人皆可编码），在线配置零代码开发、所见即所得支持 23 种类控件。
• 8. 低代码能力：在线报表、在线图表（无需编码，通过在线配置方式，实现数据报表和图形报表，可以快速抽取数据，减轻开发压力，实现人人皆可编码）。
• 9.Online 支持在线增强开发，提供在线代码编辑器，支持代码高亮、代码提示等功能，支持多种语言（Java、SQL、JavaScript 等）。
• 10. 封装完善的用户、角色、菜单、组织机构、数据字典、在线定时任务等基础功能，支持访问授权、按钮权限、数据权限等功能。
• 11. 前端 UI 提供丰富的组件库，支持各种常用组件，如表格、树形控件、下拉框、日期选择器等，满足各种复杂的业务需求 UI 组件库文档。
• 12. 提供 APP 配套框架，一份多代码多终端适配，一份代码多终端适配，小程序、H5、安卓、iOS、鸿蒙 Next。
• 13. 新版 APP 框架采用 Uniapp、Vue3.0、Vite、Wot-design-uni、TypeScript 等最新技术栈，包括二次封装组件、路由拦截、请求拦截等功能。实现了与 JeecgBoot 完美对接：目前已经实现登录、用户信息、通讯录、公告、移动首页、九宫格、聊天、Online 表单、仪表盘等功能，提供了丰富的组件。
• 14. 提供了一套成熟的 AI 应用平台功能，从 AI 模型、知识库到 AI 应用搭建，助力企业快速落地 AI 服务，加速智能化升级。
• 15.AI 能力：目前 JeecgBoot 支持 AI 大模型 chatgpt 和 deepseek，现在最新版默认使用 deepseek，速度更快质量更高。目前提供了 AI 对话助手、AI 知识库、AI 应用、AI 建表、AI 报表等功能。
• 16. 提供新行编辑表格 JVXETable，轻松满足各种复杂 ERP 布局，拥有更高的性能、更灵活的扩展、更强大的功能。
• 17. 平台首页风格，提供多种组合模式，支持自定义风格；支持门户设计，支持自定义首页。
• 18. 常用共通封装，各种工具类（定时任务、短信接口、邮件发送、Excel 导入导出等），基本满足 80% 项目需求。
• 19. 简易 Excel 导入导出，支持单表导出和一对多表模式导出，生成的代码自带导入导出功能。
• 20. 集成智能报表工具，报表打印、图像报表和数据导出非常方便，可极其方便地生成 PDF、Excel、Word 等报表。
• 21. 采用前后分离技术，页面 UI 风格精美，针对常用组件做了封装：时间、行表格控件、截取显示控件、报表组件、编辑器等。
• 22. 查询过滤器：查询功能自动生成，后台动态拼 SQL 追加查询条件；支持多种匹配方式（全匹配 / 模糊查询 / 包含查询 / 不匹配查询）。
• 23. 数据权限（精细化数据权限控制，控制到行级、列表级、表单字段级，实现不同人看不同数据，不同人对同一个页面操作不同字段）。
• 24. 接口安全机制，可细化控制接口授权，非常简便实现不同客户端只看自己数据等控制；也提供了基于 AK 和 SK 认证鉴权的 OpenAPI 功能。
• 25. 活跃的社区支持；近年来，随着网络威胁的日益增加，团队在安全和漏洞管理方面积累了丰富的经验，能够为企业提供全面的安全解决方案。
• 26. 权限控制采用 RBAC（Role-Based Access Control，基于角色的访问控制）。
• 27. 页面校验自动生成（必须输入、数字校验、金额校验、时间空间等）。
• 28. 支持 SaaS 服务模式，提供 SaaS 多租户架构方案。
• 29. 分布式文件服务，集成 MinIO、阿里 OSS 等优秀的第三方，提供便捷的文件上传与管理，同时也支持本地存储。
• 30. 主流数据库兼容，一套代码完全兼容 MySQL、PostgreSQL、Oracle、SQL Server、MariaDB、达梦、人大金仓等主流数据库。
• 31. 集成工作流 Flowable，并实现了只需在页面配置流程转向，可极大简化 BPM 工作流的开发；用 BPM 的流程设计器画出了流程走向，一个工作流基本就完成了，只需写很少量的 Java 代码。
• 32. 低代码能力：在线流程设计，采用开源 Flowable 流程引擎，实现在线画流程、自定义表单、表单挂靠、业务流转。
• 33. 多数据源：极其简易的使用方式，在线配置数据源配置，便捷地从其他数据抓取数据。
• 34. 提供单点登录 CAS 集成方案，项目中已经提供完善的对接代码。
• 35. 低代码能力：表单设计器，支持用户自定义表单布局，支持单表、一对多表单，支持 select、radio、checkbox、textarea、date、popup、列表、宏等控件。
• 36. 专业接口对接机制，统一采用 RESTful 接口方式，集成 Swagger-UI 在线接口文档，JWT token 安全验证，方便客户端对接。
• 37. 高级组合查询功能，在线配置支持主子表关联查询，可保存查询历史。
• 38. 提供各种系统监控，实时跟踪系统运行情况（监控 Redis、Tomcat、JVM、服务器信息、请求追踪、SQL 监控）。
• 39. 消息中心（支持短信、邮件、微信推送等）；集成 WebSocket 消息通知机制。
• 40. 支持多语言，提供国际化方案。
• 41. 数据变更记录日志，可记录数据每次变更内容，通过版本对比功能查看历史变化。
• 42. 提供简单易用的打印插件，支持谷歌、火狐、IE11 + 等各种浏览器。
• 43. 后端采用 Maven 分模块开发方式；前端支持菜单动态路由。
• 44. 提供丰富的示例代码，涵盖了常用的业务场景，便于学习和参考。

系统效果预览

• 开发模式





• 一切自动化





AI 模型与应用管理







AI 流程编排




MCP 和工具




AI 知识库（支持各种文档格式，尤其 MarkDown）




AI 工具箱




AI 聊天助手




AI 绘图




AI 写文章




PC 端













在线聊天 & 通知







Online 开发 (在线配置表单和报表)




Online AI 建表







大屏设计器
















APP 效果










PAD 端







在线接口文档




报表设计器



















欢迎吐槽，欢迎 star~

原文链接

zen689

先马后看，AI的资料太散了，这篇梳理得挺清楚。

frost571

排版舒服内容也硬核，这样的帖子多来点。

neo128

• 修复升级 Tomcat 11 后 work 目录生成在项目目录的问题。

这段深有同感，JeecgBoot确实是这样。

lab_iris_20

AI和V3.9.5结合起来讲的思路很好，这种对比很少见。