PostgreSQL 博览 2026-06-09 RSS 订阅

Dalibo 发布 PostgreSQL Anonymizer 3.1。这个扩展用动态、静态、副本、备份等六种策略隐藏数据库里的个人信息与商业敏感数据，3.1 在此之上加入本地差分隐私：用广义随机响应机制处理调查数据和分类值，观察者即使掌握辅助信息也无法高置信度还原原值，聚合统计仍然可用。该版本还修复了一个可导致权限提升的严重漏洞，PostgreSQL 14 上的实例风险最高，官方建议立即升级或先应用临时缓解措施。

TimescaleDB 2.27 的重点是减少分析操作中不必要的解压工作。压缩数据上的 UPDATE 和 DELETE 现在也用布隆过滤器在解压前做批次剪枝，厂商称最高提速 160 倍；UPSERT 借助复合布隆过滤器提高冲突检测效率，Hypercore 向量化执行引擎能内联处理更多过滤表达式，连续聚合刷新提速 30% 到 2 倍。此外新增连续聚合的合并刷新。该版本同时宣布弃用 PostgreSQL 15，支持将在 2.28 结束。

PostgreSQL 19 Beta 1 发布之后，AWS 把它放进了 Amazon RDS 的 Database Preview Environment，托管用户不必自建整套测试栈就能验证应用与扩展的兼容性。这是预览而不是 GA：预览环境的实例最长保留 60 天，快照也只能在预览环境内部使用。计划升级到 19 的团队可以借此提前跑一遍逻辑复制、序列同步、SQL/PGQ 和常用扩展组合，把云上行为与自建环境的差异记录下来。

Cybertec 的 Christoph Berg 记录了温哥华的 PGConf.dev 2026。会议既有社区讨论，也有周五由与会者投票定题的非正式环节。重点包括与 Bruce Momjian、Tom Lane 等早期贡献者的圆桌回顾，Robert Haas 介绍 PostgreSQL 19 的规划器提示，以及把透明数据加密并入内核的进展讨论。其他议题还有索引预取、时态查询，以及正在提交给 SQL 标准委员会的 key joins。

Microsoft 安全团队分析了一批以 AI 品牌为诱饵的社会工程活动：攻击者利用开发者急于试用新工具的心理，用仿冒的 AI 工具页面窃取凭据。官方强调这是品牌滥用，相关 AI 服务本身并未被攻破；TechCrunch 的报道把讨论延伸到被篡改的 Microsoft 开源工具与 AI 开发者密码泄露。建议在安装 AI 命令行工具、编辑器扩展和 MCP 服务器前先核对发布者、签名与发布产物，并收敛共享 API key 的暴露面。

安全团队常见的困境是知道有威胁却难以快速把它变成边缘规则。Cloudflare 把威胁情报做成 WAF 可以直接引用的实时字段，按行业、地区和威胁团伙等维度匹配请求，官方称检测在边缘节点本地执行以控制延迟，同时保留 Security Analytics 的可见性。这样一来情报就成了 API 和 Terraform 能够编排的对象，规则可以随情报更新自动生效。落地前建议先在日志和分析里观察一段时间，确认误杀率可以接受再切换到拦截模式。

很多组织的真实风险不在活跃仓库，而在没人维护却仍被部署、被引用或仍存有密钥和旧依赖的仓库里。GitHub 新增的定期代码扫描针对的正是这些闲置仓库：它是组织级的 Advanced Security 全局设置，作用于 code scanning 的默认配置，不需要为每个仓库单独打开。管理员可以借此把归档仓库和遗留部署对应的仓库一并纳入安全覆盖，并重新核对哪些闲置仓库仍然出现在生产依赖链里。