LNbits 1.7.0rc4已上传PyPI，测试包出现不等于服务全面恢复
来源发布日期: 2026-11-10 · 编辑分析发布日期: 2026-11-10
11月10日的软件包出现在11月9日合并安全修改之后。PyPI明确标为预发布版本，GitHub稳定发布与运营者实际部署仍须分别核对。
现在有一个新软件包可供检查
LNbits 1.7.0rc4于11月10日01:51 UTC上传到项目的官方PyPI软件包页面。这是在11月8日紧急要求停止服务器之后，一个可以具体核对的新进展：开发者与运营者已经能够取得一个新发布版本进行检查。PyPI明确将其标记为预发布版本，可能不适合稳定生产使用。rc表示候选发布版，意思是它仍处于正式稳定版本之前的检查阶段，不能仅凭版本数字较大就忽略这个状态。
此前的1.7.0rc2在11月9日14:46 UTC上传。LNbits还在11月9日合并了编号4310和4313的安全修改。这几项证据应分别理解：代码进入源仓库、软件包公开发布、某个具体服务重新向客户提供访问，并不是同一事件。新包出现本身不能确认所有受影响安装都已经恢复。它证明了分发环节有了可查看的新产物，而不是替每位服务运营者宣布自己的工作已经完成。
先看清正在读哪份版本列表
在11月10日检查时，GitHub最新公开稳定发布仍为9月18日的v1.6.2，其说明是修复PostgreSQL备份功能。它位于GitHub发布列表顶部，并不会因此变成针对11月事件新发布的补丁。反过来，PyPI出现1.7.0rc4，也不表示GitHub已经宣布了普通稳定版1.7.0。两个页面展示的是不同发布渠道中的记录，阅读时需要同时保留准确版本、日期以及是否为候选版的信息。
这一区别重要，是因为运营者用不同安装方式获得LNbits。一个渠道已有某版本，并不能证明另一个渠道或某个托管服务已经改变。判断时应看明确版本号与预发布状态，而不是通用的stable徽章或者搜索结果排序。运营者真正部署了什么，又是针对具体服务需要核对的另一个事实。下载目录回答的是软件是否可取得，用户能否使用自己的账户则还涉及实际部署与服务状态。
安全修改正在处理什么
已合并的源代码修改集中管理向外发起的请求检查，并加强防止服务器被引导访问自身或私有目标的保护。这类问题称为服务器端请求伪造，简称SSRF，可以简单理解为诱使应用替别人发起一次请求。修改标题和代码历史能够确认项目正在加强这些防护，但它们并不是对事件中全部攻击的完整取证报告。不能只看到某项安全功能改变，就自动认定所有已报告损失的具体过程都已得到解释。
我们也只读检查了rc4公开源代码归档，没有运行程序。其中允许新账户的默认设置为false；软件包元数据要求Python至少为3.10，同时低于3.14。新代码的默认值不能证明已有安装保存的配置也采用同一值。运营者仍需了解自己真正部署的设置，以及现有安装环境是否兼容。阅读软件包能核对这些声明，却不能代替对某个真实服务器现状的检查，也不说明所有旧配置会自动变成相同状态。
为什么矿工会关心一个钱包应用
LNbits属于Bitcoin和Lightning的应用层，不是比特币共识协议，也不是ASIC挖矿固件。当矿工实际付款或收款路径使用LNbits时，这条新闻才直接相关。它并不表示所有比特币矿工都需要安装这个包、更换矿池，或替换一个没有使用LNbits的普通链上收款钱包。先确认自己的资金路径是否经过该应用，比看到安全新闻后同时修改所有挖矿设置更有助于找准需要核对的环节。
调查一笔付款时，可以分开看：矿池是否记入了工作量，是否发出了付款，收款应用能否正确入账并显示。矿机仍在运行，本身不能证明收款服务健康；同样，收款服务中断也不自动表示ASIC已经停止提交被接受的工作。先保留相关矿池和付款记录，再作判断，有助于把计算设备、矿池付款与接收应用的问题分开，不至于把不同阶段的状态误认为同一件事。
向运营者询问一个具体问题
对于托管LNbits账户，可以询问服务运营者目前部署的确切版本，以及该服务恢复应遵循什么指引。公开软件包的上传时间不能替运营者回答。对于自托管安装，应将版本、安装方式、配置和备份信息放在一起，让测试或恢复有清楚的起点。这样版本更新讨论能够落到具体安装上，而不是在不同渠道的发布页面之间寻找一个并不存在的通用恢复时间。
求助时不要公开钱包秘密或管理密钥。付款参考、状态和时间可以作为调查记录保存，而无需暴露控制资金的凭据。目标是核对自己实际付款路径发生了什么，不是推定一个新版本数字已经修复了每个账户，或返还此前缺失的资金。服务能重新显示页面、账目能够核对、某笔款项是否真正到达，也需要分别用对应记录回答，不能只用“已经有新版”这句话代替。
进展需要准确的版本状态
这次的新进展，是带有明确日期的rc4测试包已经可用，同时项目源代码中能看到安全修改。隔离环境中的候选版测试可以提供兼容性信息，但与宣布一个处理真实资金的服务已经可以重新开放不同。本报道没有运行LNbits，没有测试攻击，也没有独立认证该包安全。我们所核对的是公开发布记录、源代码设置与版本元数据，读者应按这个证据范围理解报道结论。
在认为某个安装的事件已经解决之前，应查看项目当前官方指引及运营者自己的服务通知。合并修复、发布候选版、部署更新和客户恢复使用，是不同里程碑。把这些名称说准确，矿工才能跟进真正发生的恢复进度，而不会把包目录的一条记录当成自己的收款服务已经回来的确认。rc4出现提供了新信息，但具体账户的恢复状态，最终仍需要该服务的实际部署与账目来说明。
来源: LNbits / PyPI and official source ↗ · Official GitHub releases ↗ · Merged security change 4310 ↗ · Merged security change 4313 ↗ · Versioned PyPI metadata ↗
挖矿计算器 ↗
