2.27.0

新特性

• 商城支持订阅产品，可配置订阅方案与附加项，并提供购买、续费、变更和取消流程（商城版）
• 商品规格支持设置单笔订单和单客户累计限购数量（商城版）
• 产品支持设置别名，生成自定义访问地址（商城版）
• 新增阿里云号码认证短信服务，支持使用系统赠送签名和配套模板发送验证码（专业版/商城版）
• 安全确认支持通过已绑定手机号的短信验证码完成身份确认（专业版/商城版）
• 商城新增「允许匿名购买」设置，默认关闭；开启后访客可无需登录购买实体和一次性虚拟商品，并通过邮箱中的订单链接查看、支付和领取商品（商城版）
• 控制台新增客户管理，可查看客户资料、收货地址、订单和订阅，编辑内部备注，以及拉黑或恢复客户；被拉黑的客户无法创建新订单（商城版）
• 已支付且履约完成的订单满 14 天后自动确认收货并归档，记录确认收货时间；不追溯处理升级前已完成履约的历史订单（商城版）
• 手机浏览器支持使用已配置的支付宝进行手机网站支付，商户需为支付宝应用开通「手机网站支付」（商城版）
• 微信外的手机浏览器支持跳转微信 H5 收银台，商户需开通 H5 支付并配置店铺公网域名；电脑和微信内置浏览器仍使用二维码支付（商城版）
• 商城订单支持记录下单 IP 地址，可在后台订单详情中查看（商城版）
• 已启用 TOTP 或验证邮箱的用户，在修改密码和管理个人访问令牌前需安全确认；确认后 30 分钟内无需再次确认 by @JohnNiang in halo-dev/halo#10333
• 为评论和回复提供统一固定链接，方便从通知和 Console 跳转到对应讨论 by @ruibaby in halo-dev/halo#10318
• 支持在 Console 中编辑评论和回复 by @ruibaby in halo-dev/halo#10302
• 编辑器图片集支持为单张图片设置替代文本 by @ruibaby in halo-dev/halo#10303
• 编辑器图片集支持替换单张图片 by @ruibaby in halo-dev/halo#10304
• 支持在编辑菜单项时切换链接、内置路由及内容类型 by @ruibaby in halo-dev/halo#10305
• 菜单项支持绑定文章归档、分类列表和标签列表，主题路由设置变化后链接会自动更新 by @ruibaby in halo-dev/halo#10284
• 上传附件前可修改文件名 by @ruibaby in halo-dev/halo#10288
• Console 支持超级管理员以其他用户身份登录，并在切换期间显示提示横幅和退出入口 by @JohnNiang in halo-dev/halo#10354
• 评论管理支持将评论和回复设为私密，并可在创建回复时选择私密回复 by @ruibaby in halo-dev/halo#10348

功能优化

• 产品创建可先保存为草稿；产品详情支持分块独立编辑，并提醒未保存的更改（商城版）
• 产品列表显示所属分类，订单列表支持按创建时间范围筛选（商城版）
• 升级 ALTCHA 验证码至 v2，后台设置改用最大计数与 PBKDF2 哈希算法；原有 SHA 算法配置可继续使用（专业版/商城版）
• 优化商城商品浏览、购物车、结算及订单详情体验，完善商品空状态、价格和订单费用展示，取消未支付订单前增加确认，并改善移动端支付宝跳转页面的适配（商城版）
• 更新预置的 AI 助手、Docsme、限制阅读 Pro 和 SEO 工具插件版本（专业版/商城版）
• 附件库复制的视频 HTML 默认包含播放控件 by @ruibaby in halo-dev/halo#10323
• 附件库复制的音频 HTML 默认包含播放控件 by @ruibaby in halo-dev/halo#10324
• 完善邮箱验证、注册登录、评论和附件上传等操作的多语言错误提示 by @ruibaby in halo-dev/halo#10320
• 优化 Console 加载体验，无需主题信息的页面不再等待主题加载 by @ruibaby in halo-dev/halo#10296
• 新安装的默认本地存储策略仅允许上传图片（不含 SVG）、视频和音频，单个文件最大为 200MB；已有站点的存储策略配置保持不变 by @ruibaby in halo-dev/halo#10365
• 移除旧「用户设置」和「文章设置」中的附件存储项；仍使用旧配置的站点需改用「附件配置」中的对应策略和分组，旧个人中心上传接口也统一使用「个人中心附件配置」 by @ruibaby in halo-dev/halo#10346
• 编辑器支持在表格自适应模式下调整列宽，保持表格总宽度为 100%，并在容器宽度变化后保留列宽比例 by @ruibaby in halo-dev/halo#10369
• 缩短新生成的个人访问令牌（PAT）长度，已有令牌仍可使用至撤销或过期 by @JohnNiang in halo-dev/halo#10367
• 超级管理员在 Console 用户管理中重置密码时不再需要二次安全验证，个人中心修改密码仍保留安全验证 by @ruibaby in halo-dev/halo#10368
• 更新默认预置的评论、代码高亮、超链接卡片、AI 基础功能及应用市场插件版本 by @ruibaby in halo-dev/halo#10350

问题修复

• 修复产品规格重复导致编辑和保存异常的问题，同一属性不再允许保存重复的属性值（商城版）
• 修复订单号日期前缀和设置预览未按系统时区计算的问题（商城版）
• 修复商城首页订单统计包含已删除订单的问题（商城版）
• 修复虚拟商品自动发货失败后订单仍显示「已发货」的问题，自动发货期间显示「发货中」，成功后才开始自动确认收货倒计时（商城版）
• 修复后台手动创建的零元订单不会自动标记为已支付的问题，仅对新创建订单生效（商城版）
• 修复开启注册手机号验证后，许可证激活失效导致无法完成注册的问题（专业版/商城版）
• 修复注册邮箱域名限制可被绕过的问题，服务端会校验注册验证码发送和注册请求（专业版/商城版）
• 修复短信验证码在注册、登录和修改手机号等场景中可被重复使用的问题；升级前尚未使用的短信验证码需重新获取（专业版/商城版）
• 修复关闭开放注册后手机号验证设置被隐藏的问题，并补充其对已有用户和个人访问令牌的影响说明（专业版/商城版）
• 修复默认本地存储策略的配置在重启后被还原的问题 by @bedhere in halo-dev/halo#10253
• 修复按作者筛选文章或页面时，未列出仅被设为作者但未参与编辑的内容的问题 by @ryanchou1994 in halo-dev/halo#10274
• 修复投稿者可通过个人中心自行置顶文章或绕过发布权限的问题 by @ruibaby in halo-dev/halo#10344
• 修复拥有文章或页面查看权限的用户无法预览他人创建的未发布内容的问题 by @ruibaby in halo-dev/halo#10337
• 修复“待审核”评论筛选遗漏含待审核回复的评论树的问题 by @kindaokay in halo-dev/halo#10329
• 修复公开评论详情接口返回 HTTP 500 的问题 by @ruibaby in halo-dev/halo#10315
• 修复评论回复的置顶和排序优先级不生效的问题 by @ruibaby in halo-dev/halo#10314
• 修复关闭评论或回复通知后仍收到回复通知的问题 by @ruibaby in halo-dev/halo#10313
• 修复通过评论名称读取时可能访问无权查看的评论的问题 by @ruibaby in halo-dev/halo#10312
• 修复激活其他主题后，主题管理页面未自动选中新主题的问题 by @ruibaby in halo-dev/halo#10306
• 修复主题重复选择后设置选项消失、主题列表无法关闭的问题，并在地址中保留所选主题 by @ruibaby in halo-dev/halo#10295
• 修复删除用户后，其上传的头像文件未清理的问题 by @ruibaby in halo-dev/halo#10300
• 修复删除存储策略后，关联附件无法删除且持续记录 404 错误的问题 by @ryanchou1994 in halo-dev/halo#10294
• 修复评论详情中注册用户的昵称和头像显示不正确的问题 by @ruibaby in halo-dev/halo#10293
• 修复菜单和分类父级异常时无法拖动排序的问题，并改善层级迁移后的状态保持 by @ruibaby in halo-dev/halo#10289
• 修复禁用用户后，其个人访问令牌仍可访问 API，以及用户降权后令牌仍可保留超出当前权限的问题 by @ruibaby in halo-dev/halo#10362
• 修复个人资料接口可修改邮箱、密码及两步验证等敏感字段的问题，资料更新仅允许修改显示名称和个人简介 by @ruibaby in halo-dev/halo#10364
• 收紧用户管理权限，角色分配、密码重置及通过用户管理修改邮箱仅限超级管理员；新建用户统一使用注册默认角色 by @ruibaby in halo-dev/halo@8660db0
• 注册默认角色不再支持超级管理员；若此前已配置为超级管理员，需改选其他角色，否则注册和使用默认角色创建用户将被阻止 by @ruibaby in halo-dev/halo#10357
• 修复修改密码或管理个人访问令牌时安全验证弹窗的显示布局 by @ruibaby in halo-dev/halo#10352
• 修复关闭开放注册后邮箱验证设置被隐藏的问题，并补充其对已有用户和个人访问令牌的影响说明 by @ruibaby in halo-dev/halo#10374
• 修复私密回复状态未保留及未审核评论下的回复可能公开显示的问题 by @ruibaby in halo-dev/halo#10348
• 修复首次启动中断后因 RSA 密钥文件不完整而持续启动失败的问题，支持自动恢复并尽可能保留原有密钥 by @ruibaby in halo-dev/halo#10373
• 修复使用 Redis 会话存储时安全确认状态判断失效及 OAuth2 账号绑定失败的问题 by @JohnNiang in halo-dev/halo#10377
• 修复 Console 评论列表中图片和长内容破坏布局的问题，过大的图片等比缩放，过长的内容支持折叠和展开 by @ruibaby in halo-dev/halo#10379
• 修复富文本编辑器处理粘贴内容时的安全问题 by @ruibaby in halo-dev/halo#10380

开发者相关

• 订单详情接口新增履约完成时间、自动确认收货时间和确认收货时间字段：fulfilledAt、autoConfirmAt、confirmAt（商城版）
• 新增 UC API 手机号验证码发送和修改接口，原 Console 接口保留并标记废弃（专业版/商城版）
• 主题模板可通过 menuFinder.getByNames 批量获取菜单及其菜单项树 by @ruibaby in halo-dev/halo#10285
• 已移除 ThumbnailProvider 接口及 thumbnail-provider 扩展点；插件需迁移到 AttachmentHandler.getThumbnailLinks() 和 attachment-handler 扩展注册 by @ruibaby in halo-dev/halo#10292
• UI 插件构建工具已移除根入口导出和 HaloUIPluginBundlerKit；请从 /vite 或 /rsbuild 子入口导入，并安装所选构建工具及其 Vue 插件 by @ruibaby in halo-dev/halo#10290
• 当前用户的资料、头像、邮箱验证和权限查询接口迁移至 UC API，原 Console 自助接口保留并标记废弃 by @ruibaby in halo-dev/halo#10364

依赖更新

• 升级支付宝 SDK 至 3.1.78.ALL、Stripe SDK 至 33.2.0、阿里云短信 SDK 至 4.6.0、腾讯云 SDK 至 3.2.4（专业版/商城版）
• 升级 pf4j 至 3.16.0 by @JohnNiang in halo-dev/halo#10335
• 升级 Tiptap 至 3.32.0，并更新 ProseMirror 相关依赖 by @ruibaby in halo-dev/halo#10380