Gately v0.5.8 发布

2026 年 10 月 25 日

这一版让 Gately 可以作为 OIDC 身份提供方，新增 SMB 文件共享（#15），给所有日志加上筛选（#16），并支持调整 WAF 规则组的顺序（#17）。

下载 v0.5.8 · GitHub Release · OIDC 单点登录文档

OIDC 单点登录

Web 服务内置 OpenID Connect 身份提供方，Gitea、OpenList、Grafana 等支持 OIDC 登录的应用可以直接用共享用户登录，并能区分是谁登录，可以替代 Authelia 的 OIDC 功能。

• 在「Web 服务 → 全局设置 → OIDC 身份提供方」中填写签发者地址并添加客户端即可，签发者域名不需要建站点；
• 共享用户新增可选的邮箱、显示名和分组，作为 email、name、groups 声明提供给应用，应用可据此自动建号、按分组授予管理员；
• 每个客户端可限定允许登录的用户或分组；支持 PKCE、刷新令牌、prompt=none / prompt=login，公共客户端（单页应用、手机 App）必须使用 PKCE；
• 登录沿用网页认证的登录页和 TOTP 二次验证，签发者位于单点登录域内时，登录过任一站点就不必再登录应用；
• 修改密码或 TOTP、删除用户、移出允许列表后，已签发的令牌立即失效；sub 使用共享用户的固定 ID，改名不变；
• 文档附 Gitea、OpenList、Grafana 的配置示例，均已对照真实应用验证。

SMB 服务

「文件服务」新增「SMB 服务」，把本机目录共享给 Windows 资源管理器、macOS 访达、Linux 以及手机、电视上的 SMB 客户端：

• 支持 SMB 2.0.2 ~ 3.1.1、NTLMv2 认证与签名，可要求 SMB 3 加密；
• 用户配置与 FTP、WebDAV 相同，每个用户只能看到自己的共享，目录可单独设为只读；
• 页面列出每个共享的连接地址，可开启 Bonjour 广播让访达直接发现；
• 仅 Linux 与 macOS 上可用。Windows 只能连接 445 端口，NAS 自带的 Samba 已占用时需改用其他端口。

日志筛选

「系统日志」和每个模块的日志卡片都可以按级别、来源、关键词（支持短语和排除词）、客户端 IP 或网段、时间范围筛选，Web 服务还可以按站点、域名和状态码筛选。筛选在服务端完成，「加载更早的日志」会继续查找落盘的日志文件。Web 服务访问日志和 WAF 命中日志记录了客户端 IP、域名、状态码与规则 ID，点击日志中的标签即可按该值筛选。日志接口支持相同的筛选参数。

Web 服务与 WAF

• 站点的请求头、响应头改为逐行编辑，名称和取值可从常用项中选择（HSTS、CSP、X-Frame-Options 等），一键补齐常用安全头，并实时检查格式与常见误用；固定文本站点的 Content-Type 可从常用类型中选择；
• 名称或值含非法字符的请求头会在保存时被拒绝，之前这类配置会让整个站点返回 502；
• 反向代理的「选项」旁新增说明，逐项解释六个选项的作用与适用场景；
• WAF 规则组可上移、下移。放行规则（allow、ctl: 等）要放在 OWASP CRS 之前，SecRuleRemoveById 等移除指令要放在 CRS 之后，界面与文档都有说明。

修复

• FTP、WebDAV 用户改名但不重新输入密码时，保存会失败。

升级提示

• 升级方式：Linux 二进制在「关于」页直接升级；Docker 拉取新镜像后重建容器；飞牛在应用中心安装新版 .fpk；OpenWrt 安装新版 .ipk / .apk。
• 配置格式向后兼容，可以直接升级。共享用户在首次启动时自动生成固定 ID，并写回配置文件。
• 网页认证登录表单会拒绝来自其他网站的提交，正常登录不受影响。