datasette 1.0a38

# 发布：datasette 1.0a38 来源：https://simonwillison.net/2026/Aug/6/datasette/ > 此版本修复了一个**SQL 注入**安全问题，该问题影响那些在同一数据库中使用 Datasette 权限系统（https://docs.datasette.io/en/latest/authentication.html）配置访问权限、并提供**公共表与私有表的混合**的 Datasette 实例。以这种方式提供私有表的网站管理员，建议禁用该数据库上的 `execute-sql` 权限（https://docs.datasette.io/en/latest/authentication.html#execute-sql），以防止用户使用原始 SQL 查询访问私有表。已修复的缺陷原本会让有权访问任意公共表的用户绕过该限制执行 SQL 注入攻击，从而获得对同一数据库中私有表数据的只读访问权限。此修复也适用于 Datasette 0.65.3（https://simonwillison.net/2026/Aug/6/datasette-2/）。 幸运的是，这种特定配置——在同一个实例中，同一数据库同时暴露私有表和公有表——可能相当少见。我本人还没有遇到过这样的实例。