先说个有点尴尬的事实：Typecho 最新的正式版是 1.3.0，发布于今年 1 月 20 日。到今天九月下旬，官方没有再发过新版本。
放在别的软件上，这基本等于宣告停滞。但 Typecho 是个例外——它的生态一直在靠社区自己转。8 月我聊过它的主题圈，这次想说说另外两条线：后台的现代化，和一直没还完的安全债。
Typecho 的后台大概是它最”有年代感”的部分。功能没问题，但界面和交互停留在十几年前，在手机上尤其难受。对一个天天要写文章的人来说，这是最直接的体感。
今年社区里比较有意思的一个项目是 BooAdmin：用 TailwindCSS 把 Typecho 1.3.0 的后台整个重新做了一遍。它的 1.3.1 版本做了一个很关键的改动——从 CDN 加载样式改成使用编译产物。这件事看起来很小，但意义不小：不再依赖外部的在线资源，后台的 CSS 体积降到十几 KB 到几十 KB，加载更快，也不受网络环境影响。对一个讲究”轻”的程序来说，这种取舍才是对的。
更值得说的是它配的那套开源插件。BooAdmin 提供了 Passkey / Passport 支持，可以把登录方式换成 Passkey 免密登录——用指纹或面容直接进后台，不用再输那一串密码。老实讲，博客后台大概是最容易被撞库的地方之一：很多人用一个密码管所有站，一旦别处泄露，博客就跟着失守。把登录从”记住的秘密”换成”你身上的东西”，是这一两年最实在的安全升级方向，现在被搬进了 Typecho 生态里。
另外它还留了退路：安装和回滚都做成了可执行的一键操作。对一个要跑生产站的程序来说，这一点比好看的界面更重要——改坏了能退回去，你才敢改。
另一条线就没那么愉快了。
今年披露过一个编号 CVE-2026-7025 的漏洞，影响 Typecho 1.3.0 及更早版本，问题出在 Pingback 的处理上：程序在处理外部 Pingback 时没有严格校验来源主机，可以被用来构造服务端请求伪造（SSRF）——简单说，就是别人能借你的服务器去打内网里的东西。公开的修复方案是在相关处理流程里加了一层地址安全校验，官方的修复代码也已经进了仓库。
进入九月之后，社区里还集中出现了一批安全相关的提交，涉及 XML-RPC 接口的越权、内容对象的权限校验、Trackback 的存储型跨站脚本等。这些不是同一天爆出来的大新闻，而是”同一类问题”被系统性地翻了一遍。
我把它们放在一起看，是因为这背后是一个很典型的处境：一个极简的、跑在 PHP 上的老博客程序，它的攻击面并不会因为”用的人少”而变小。 XML-RPC、Trackback、Pingback 这些今天大多数人已经不用、甚至不知道存在的功能，代码还留在那里，接口还开着。老程序的漏洞，往往就藏在这些没人再关注的角落里。
Typecho 之所以能活到今天，靠的是它最初的两个决定：一是足够轻，一个 PHP 文件丢上去就能跑；二是足够稳，数据是你的，程序是你的，没人能关掉你的站。
而它今天的困境，恰恰是这两个优点的另一面。轻，意味着它没有商业公司持续投入的运维团队；稳，意味着它不太需要频繁发版，于是发版节奏就慢了下来，安全更新也容易滞后。优点和风险，本来就是同一件事的两面。
所以对还在用 Typecho 的人，我有三个具体的建议：
第一，先把版本核一遍。1.3.0 及更早的装个安全补丁，别拖。不要觉得”我的站小没人惦记”——扫描是自动化的，机器不挑食。
第二，把登录方式换掉。不管用不用 BooAdmin，都建议上两步验证或者 Passkey 这类免密方案。后台的密码，是整站唯一的钥匙。
第三，关掉你用不到的功能。XML-RPC、Trackback、Pingback，如果你根本不用，就把它们的入口关掉。攻击面这东西，少一个是一个。
至于要不要继续用 Typecho，我的看法是：程序老了不是原罪，没人管才是。目前这个社区还在提交、还在修、还在重做后台，说明它没死。但你得接受一个前提——用这类小众自托管程序，你得愿意花点时间在维护上，而不能指望它像 SaaS 一样自动升级。
免费的博客程序从来不免费：省下的钱，最后都会以时间的形式付回来。 （内容由AI生成，仅供参考）
正在加载评论...