Dify-Plus 1.17.1-plus.1

本版本合并 Dify 社区版 1.17.1，保留 Dify-Plus 核心二开能力，新增 Casdoor SSO 集成，并使用 Dify 原生 Console 统一管理企业集成、用户额度与代码执行授权。

合并 Dify 社区版 1.17.1

本版本源码包含 Dify 社区版 1.17.1 的完整合并基线，并适配 Dify-Plus 扩展。工作流、Chatflow、Agent、知识库与 RAG、模型供应商、插件、应用发布及服务 API 使用该社区版本的主体实现。

• 上游版本：Dify 1.17.1。
• 保留个人账号额度、应用 API 密钥日/月限额与消费归因。
• 保留应用中心、模板同步、已安装应用管理和本人工作流使用记录。
• 保留 WebApp 每应用访问认证、聊天上下文分段及完整代码沙箱授权。
• 支持当前后端与前端契约、双数据库迁移链及专用工作流 WebSocket 编排。

新增 Casdoor SSO

Casdoor 使用独立的原生集成配置，不与通用 OAuth2 配置混用。

• 在「系统管理 → 系统集成」配置 Casdoor 地址、组织、应用、Client ID、Client Secret 与登录回调。
• 支持保存草稿、静态校验、真实测试登录、启用与停用；测试与启用绑定指定配置版本。
• 自动通过 Discovery/JWKS 获取、缓存和刷新签名公钥，无需管理员手工维护验签证书。
• 登录页展示已启用的企业 SSO 入口，服务端校验授权回调并建立 Dify 本地会话。
• 支持 SSO 登录所需的空间角色映射：admin、editor、normal；不映射 owner，不改变全局系统管理权限。
• Client Secret 加密保存，不回填明文；登录结果页不展示授权码或访问令牌。

Casdoor 发布范围仅为 SSO 集成。 当前支持 Community 且 RBAC_ENABLED=false；Enterprise / RBAC 开启模式不支持激活。身份治理、成员托管、头像恢复等其他 Casdoor 能力不在本次发布功能范围。

原生系统管理与企业配置

已去除 GVA 独立管理后台，企业管理使用 Dify 原生 Web、Flask API 和权限体系，不需要额外部署 GVA 管理服务。

• 系统管理包括 Casdoor、钉钉、通用 OAuth2 配置、用户额度与代码执行控制。
• 管理权限限定为实例初始化空间内真实角色为 owner 或 admin 的账号，菜单、页面与 API 一致校验。
• 其他空间的管理员不能修改实例级配置，Casdoor 登录目标和角色映射不绕过该权限边界。
• 钉钉配置提供企业邮箱查询、连接与回调测试。钉钉/通用 OAuth2 后端配置能力不等同于当前普通登录页展示对应按钮。

文档与截图

重写项目首页、开发约定和当前功能、页面、后端、数据库、架构与部署文档；当前使用说明与历史记录分开维护。

提供 6 张真实脱敏截图：Casdoor SSO、个人额度、API 密钥日/月限额、应用中心、WebApp 访问认证、代码执行控制。地址、客户端凭据、账号与邮箱等敏感信息已遮挡。

安装与升级要求

1. 使用本版本源码构建或与本版本提交一致的 Dify-Plus API/Web 镜像。上游官方镜像不包含二开功能；Compose 中已有镜像标签也不证明它们包含本次 Release 的全部源码。
2. 使用 docker/docker-compose.dify-plus.yaml，配置 DIFY_AGENT_SERVER_SECRET_KEY、服务凭据、实际域名、持久存储和相关网络。
3. 升级前保留数据库、文件/插件存储、向量库、配置与旧镜像的一致恢复点；停止业务写入者。
4. 仅由一个迁移执行者先运行 flask db upgrade，再运行 flask extend_db upgrade。不要让 API/worker/beat 副本并发迁移。
5. 核对两条迁移链、原账号/空间/模型配置/额度和应用数据后，恢复业务并验证登录、实际模型调用、计费、知识库、插件及工作流 WebSocket。
6. 首次安装在 /install 初始化账号和空间，再配置企业 SSO；保留可用的本地管理员登录方式。

个人额度以 USD 为后端单位，导航可按配置汇率显示人民币。API 密钥 accumulated_quota 是累计消费统计，不是生命周期总额度上限。代码完整执行授权按空间 owner 邮箱匹配。遗留跨空间模型同步结构没有有效调用入口，不作为可用产品功能。

发布与验收边界

本 Release 发布 Dify-Plus 源码、版本标签和文档。真实页面截图、已有本地运行记录与单元测试均不替代目标环境的生产验收；部署方需使用自己的 Casdoor 应用完成配置、测试登录与启用。

本次 GitHub Release 不表示腾讯云镜像标签已更新，也不表示已部署生产实例。使用容器前，请核对镜像来源与源码提交。

文档入口

• 完整功能与截图
• Casdoor SSO 配置指南
• 部署与升级说明
• 文档索引

本次发布校验

• 后端权限、Casdoor SSO、公钥验签、额度与 API 密钥：20 个聚焦测试模块，807 项通过，0 失败。
• 前端 SSO 配置、登录结果、管理权限、系统集成与密钥限额：8 个测试文件，138 项通过，0 失败。
• 文档本地链接、格式及6张截图隐私检查通过。
• 修复旧额度测试的空间 owner 模拟数据，保留生产初始化权限不变量；移除导致 GitHub Actions 启动失败的空翻译工作流。

以上为本地聚焦单元回归，不是完整 CI、集成或生产验收。后端使用已有虚拟环境，未执行覆盖率统计；本地缺少 pytest-env/pytest-cov，保留 importlib 导入模式并移除不可用覆盖率参数。前端使用单工作进程及 Node 环境所需的临时 localStorage 文件。

发布提交：e1f4e6c11d；源码分支：codex/merge-upstream-1.17.1。本次不发布 Docker 镜像，不覆盖远端 main 的独立历史。