dify 1.15.0完整解析：从UI体验到OpenAPI、从知识导入到RBAC，这次更新信息量太大了

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

Dify 1.15.0 已于 2026 年 6 月 26 日发布。 这是一个信息量非常大的版本，覆盖了体验优化、新功能、可观测性、知识导入、插件安装、安全修复、工作流执行稳定性、环境变量调整、数据库迁移以及部署升级流程等多个层面。

如果用一句话概括这个版本，那就是：

Dify 1.15.0 不只是一次常规迭代，而是把命令行调用、思维链可视化、人工介入表单增强、长耗时模型支持、可观测性深化和权限安全加固，系统性地推进了一大步。

一、版本基本信息

• 最新版本：1.15.0 • 发布时间：2026 年 6 月 26 日

二、这次更新最值得关注的方向

从整个版本说明来看，Dify 1.15.0 的升级重点主要集中在以下几个方向：

• UX 和 UI 体验升级 • 命令行工具 difyctl 正式增强 • Workflow 与 Chatflow 支持思维链可视化展示 • Human-in-the-Loop 表单能力增强 • 支持慢响应、长耗时生成模型 • 知识库导入能力增强，支持提取 Excel 内嵌图片 • Phoenix 追踪与 RAG 检索链路可观测性增强 • 工作流起始节点与输出节点进一步打磨 • 插件安装在部分地区自动提速 • 安全加固与大量 Bug 修复 • 新数据库迁移与升级步骤需要特别注意 • 环境变量有较大变更，部署侧必须同步检查

三、UX 与 UI 增强：上手、导航、删除、编辑与可访问性全面提升

这一部分虽然不直接影响底层能力，但对日常使用 Dify 的团队非常关键。

1. 首屏与引导体验重做

Dify 1.15.0 对 landing 和 onboarding 进行了重新设计，目标是让首次使用体验更简单、更顺畅。 这意味着新用户在第一次进入系统时，更容易理解产品结构、创建应用和开始配置。

2. 导航更快

“go to anything” 能力增强，搜索输入框支持自动聚焦。 这类优化看似小，但对高频操作用户非常实用，尤其是在工作区、应用、知识库、插件和工作流之间频繁切换时，能明显减少操作路径。

3. 删除更安全

删除应用前加入一键确认机制。 这类优化本质上是降低误删风险，尤其适合多人协作、应用较多的生产环境。

4. 工作流编辑器更清爽

工作流编辑器增加可折叠面板。 这对复杂工作流非常重要，节点多、变量多、参数复杂时，界面层级过于拥挤会直接影响维护效率。可折叠能力提升了可读性和专注度。

5. 通知提示更清晰

系统统一了 toast 风格，并支持长错误信息完整展示。 这意味着定位问题时，前端不再截断长报错，调试和排障效率更高。

6. 可访问性增强

这一版还补上了多个可访问性细节，包括：

• 插件权限提示更清楚 • 恢复 contact-us 菜单 • 增加 skip-nav 快捷跳转 • 键盘焦点样式进一步打磨

这些变化说明前端体验已经从“能用”走向“更专业、更一致、更易达”。

四、最重磅新功能之一：difyctl 命令行客户端

Dify 1.15.0 最亮眼的更新之一，就是 difyctl。

它是 Dify 的命令行客户端，意味着你可以：

• 直接在终端运行应用和工作流 • 让个人 Agent、脚本和 CI 流水线调用 Dify 工作流 • 无需每次都打开 Web UI

这会给很多团队带来明显价值，尤其是以下场景：

• 自动化脚本调用工作流 • 运维任务触发 Agent • CI/CD 中串联智能流程 • 本地终端快速调试 Dify 应用 • 命令行环境下完成运行、预览、导入导出等操作

difyctl 的几个关键信息：

• 支持 macOS、Linux、Windows • 可通过单条命令安装 • 无需 access token 即可安装 • 二进制以公开发布形式提供 • 提供 checksum 校验 • 支持向 CLI 工具运行传入作用域环境变量 • difyctl 与 OpenAPI 的错误信息表现更一致 • 包括更友好的限流处理能力

换句话说，Dify 正在把自身从“Web 中台”扩展为“终端可驱动的智能工作流平台”。

五、工作流、Chatflow、CLI 迎来思维链可视化能力

这个版本另一个非常有讨论度的点，是 CoT 可视化展示。

现在，Chatflow、Workflow 和 CLI 都可以把模型的 reasoning 流式输出到一个独立的“thinking”面板中，同时保持最终答案干净可读。

这里有几个关键变化：

• 推理过程实时流式展示 • 最终答案与思维过程分离 • 页面刷新后 reasoning 仍然保留 • CLI 中也能看到 reasoning • workflow run preview 中也支持查看 reasoning

这意味着 Dify 在“结果输出”之外，开始更重视“过程可见”。 对于调试复杂提示词、分析多节点推理、排查 RAG 召回偏差、理解 Agent 决策路径，都有明显帮助。

六、Human-in-the-Loop 表单能力增强：不再只有文本输入

当工作流暂停并等待人工输入时，之前可填写内容相对单一。 Dify 1.15.0 进一步升级了 HITL 表单能力，现在支持：

• 下拉选择 • 单文件上传 • 多文件上传 • 不再局限于自由文本

这意味着人工介入流程可以提供更结构化的数据，适用于更多业务场景，例如：

• 审批流中的状态选择 • 上传附件进行审核 • 提交多份材料 • 通过固定选项进行业务判断

这一步非常重要，因为它让 Human-in-the-Loop 从“简单补一句话”，变成“真正可用的人工业务节点”。

七、支持慢响应和长耗时模型：图片、视频等生成场景终于更稳了

Dify 1.15.0 为工作流加入了对慢响应、长耗时生成模型的支持。 实现方式是 polling 机制，节点会等待最终结果，而不是过早超时。

这项能力特别适用于：

• 图片生成模型 • 视频生成模型 • 响应时长明显高于普通文本模型的任务 • 需要持续等待结果回传的异步式模型服务

这意味着工作流不再天然偏向“快速文本返回”，而是能够覆盖更广泛的多模态生成场景。

八、知识库导入增强：Excel 内嵌图片也能被提取

很多业务文档并不只靠文字表达，尤其是 Excel 文件中经常包含：

• 图表 • 截图 • 流程图 • 示意图

Dify 1.15.0 在知识导入时，增加了对 Excel 内嵌图片提取 的支持。 这意味着依赖图片表达的表格内容不再在导入时丢失，知识库的完整性大幅提升。

对于用表格承载业务规范、产品清单、操作截图、流程图的团队来说，这是非常实用的增强。

九、可观测性更深：Phoenix 追踪与文档检索链路更透明

这一版还强化了 observability 能力，主要体现在两个方面：

1. 支持自定义 Phoenix trace session id

现在可以给 Phoenix 自定义 trace session id，方便与你自身应用的 session 对齐。 这对于统一链路追踪、跨系统排障、将外部业务会话与 Dify 执行会话对上号非常有帮助。

2. 支持追踪 document retrieval 步骤

现在可以在 trace 中跟踪文档检索步骤，从而理解 RAG 结果是如何产生的。 对于知识库问答、召回不准、重排不稳定等场景，调试价值很高。

十、工作流创作体验继续打磨

Dify 1.15.0 对工作流创作层面做了不少“看似细小但非常影响体验”的优化：

• 起始节点焕新，更清楚地展示工作流从何开始 • 输出节点更智能，开发者对工作流返回结果有更强控制力 • 当应用 ID 或工作区 ID 格式错误时，系统给出更友好的错误提示，而不再是令人困惑的失败信息

这些变化本质上是降低工作流设计、联调、调用时的理解成本。

十一、插件安装在部分地区更快更稳

插件守护进程现在会在启动时自动识别所在区域。 当检测到与 PyPI 的网络连通性较差时，会自动选择附近的软件包镜像源，从而提升插件安装速度和成功率。

特点包括：

• 自动区域识别 • 自动选择附近镜像 • 无需手工配置 • 仍然支持手动指定固定镜像源

这对网络环境复杂的地区尤其重要，能显著降低插件安装失败率。

十二、安全更新：修复路径遍历漏洞

Dify 1.15.0 修复了 plugin-daemon forwarding 中的路径遍历问题，漏洞编号为 CVE-2026-41948。

这是本次版本明确标注的安全修复点，生产环境用户应尽快升级。

十三、Bug 修复：这一版在稳定性上做了大量补强

从发布说明来看，1.15.0 的修复量非常大，主要集中在以下方面。

1. 外部 HTTP 请求与 SSRF 防护加固

对多个外部请求增加了有界超时控制，包括：

• Firecrawl • Jina • Watercrawl • Nacos • Marketplace 请求

同时，默认 SSRF 代理出口也进行了加固。

2. 向量库与模型供应商兼容性修复

• 修复了 opensearch-py 更新导致的 Lindorm 向量库错误 • 修复 Tongyi 凭证兼容性问题

3. OAuth 与凭证缓存修复

OAuth 刷新后，现在会失效旧的 credential cache，避免缓存不一致导致的问题。

4. 工作流执行稳定性修复

• 改进 workflow execution 的错误处理 • 在生成器启动前提前校验 conversation，避免挂起 • 防止 legacy stop 中断 GraphEngine 运行

5. 会话与部署状态修复

• 通过 session 管理重构修复 DetachedInstanceError • 稳定部署状态的 hydration

6. 数据与校验修复

• 修复 conversation variable description 长度校验，避免 varchar 255 截断 • 中文改为 unicode 存储，修复搜索失效问题

7. Web UI 与可访问性细节修复

发布说明还明确提到，Web UI 和可访问性、焦点样式方面存在大量细节修复和打磨。

十四、整体改进：除了功能增加，架构也在持续收敛

1.15.0 不只是叠加新功能，还做了不少工程化改进：

1. Session 管理重构

多个服务统一改为显式接受 db.session，并通过依赖注入传递，提升一致性。

2. 类型系统现代化

包括：

• 删除冗余 type ignore 和 cast • 将 ABC 转换为 Protocol • 用 match-case 替换大量 isinstance 链式判断

3. 性能优化

• 降低 Chatflow 的 workflow 启动延迟 • 降低 workflow termination latency，让停止运行更快生效

4. 依赖升级

为了修复安全问题，升级了多个依赖，包括：

• Bleach • PyJWT • starlette • storage group 相关依赖

十五、环境变量变化：这是升级时必须重点核对的一部分

这个版本环境变量变动较大，官方给出了新增、删除、修改项。

新增环境变量

• DEVICE_FLOW_APPROVE_RATE_LIMIT_PER_HOUR • DIFY_ENV_NACOS_CONNECT_TIMEOUT • DIFY_ENV_NACOS_REQUEST_TIMEOUT • ENABLE_LEARN_APP • ENABLE_OAUTH_BEARER • MILVUS_SECURE • MILVUS_SERVER_NAME • MILVUS_SERVER_PEM_PATH • NEXT_PUBLIC_ENABLE_FEATURE_PREVIEW • OPENAPI_CORS_ALLOW_ORIGINS • OPENAPI_ENABLED • OPENAPI_KNOWN_CLIENT_IDS • OPENAPI_RATE_LIMIT_PER_TOKEN • PLUGIN_MODEL_PROVIDERS_CACHE_TTL • SERVER_CONSOLE_API_URL • SSRF_PROXY_ALLOW_PRIVATE_DOMAINS • SSRF_PROXY_ALLOW_PRIVATE_IPS • SSRF_SANDBOX_PROXY_HOST • SSRF_SANDBOX_PROXY_PORT • PIP_MIRROR_AUTO_DETECT，默认 true，用于自动选择附近 PyPI 镜像 • PIP_MIRROR_URL，默认空，用于手动固定 PyPI 镜像

移除环境变量

• SSRF_REVERSE_PROXY_PORT • SSRF_SANDBOX_HOST

修改环境变量

• UV_CACHE_DIR 由 /tmp/.uv-cache 改为 /tmp/uv_cache

这部分必须与本地 .env 对照检查，否则升级后很可能出现启动异常、网络行为不符合预期或某些功能不生效。

十六、Docker Compose 文件变化

这次版本涉及多个 Docker Compose 文件变更：

• docker/docker-compose.yaml 已修改 • docker/docker-compose.middleware.yaml 已修改 • docker/docker-compose.pytest.ports.yaml 为新增文件

如果你维护了定制化的 compose 配置，一定要重新审查差异并谨慎回填本地自定义项。

十七、数据库迁移：这次升级不是拉代码重启这么简单

官方明确指出： 本版本包含新的数据库迁移，升级后必须执行数据库升级命令。

可以使用：

• flask db upgrade 或 • uv run --project api flask db upgrade

本次数据库模式的重要新增包括：

• OAuth access tokens，对应 ENABLE_OAUTH_BEARER • Credential visibility • Human Input 上传表及会话关联 • 按插件类别划分的自动升级策略 • 应用收藏星标 • learn-dify 与 cloud-only 推荐应用标记 • 旧 end-user 类型规范化

十八、升级指南：这一版有一个“必须执行”的额外步骤

除了数据库迁移，官方还特别强调一个关键动作：

在执行 flask db upgrade 之后，必须再执行 flask backfill-plugin-auto-upgrade。

原因是： 插件自动升级配置现在改为“按插件类别”管理。 如果你跳过这个回填步骤，用户之前配置过的插件自动升级策略可能会失效。

这不是可选步骤，而是必须执行。

十九、Docker Compose 部署升级步骤

如果你使用 Docker Compose 部署，官方建议按以下流程进行：

• 备份自定义 docker-compose YAML 和 env 文件 • 进入 docker 目录 • 备份 docker-compose.yaml • 备份 .env • 获取 1.15.0 最新代码 • 执行 git fetch --tags • 执行 git checkout 1.15.0 • 在 docker 目录内执行 docker compose down • 备份 volumes 数据 • 检查 env 文件变化并重新应用本地自定义项 • 执行 docker compose up -d • 最后执行 docker compose exec api flask backfill-plugin-auto-upgrade

这里最重要的有三点：

• 先备份 • 检查 compose 和 env 的差异 • 回填插件分类自动升级策略

二十、源码部署升级步骤

如果你是源码部署，升级流程包括：

• 停止 API、Worker 和 Web 前端服务 • 获取 1.15.0 代码 • 执行 git fetch --tags • 执行 git checkout 1.15.0 • 进入 api 目录 • 执行 uv sync 更新 Python 依赖 • 执行 uv run flask db upgrade 完成数据库迁移 • 执行 uv run flask backfill-plugin-auto-upgrade 完成自动升级策略回填 • 重启 API、Worker 和 Web 前端服务

二十一、完整变更脉络梳理：这一版具体改了什么

虽然完整提交列表非常庞大，但从功能与模块角度，可以清晰看出 1.15.0 的整体演进方向。

1. 前端与 Dify UI 体系持续统一

这一版大量前端改动都围绕统一基础组件、状态管理与交互语义展开，包括：

• shared form primitives • CheckboxGroup、segmented control、radio、textarea、input、kbd、status、progress、file tree 等基础组件完善 • 搜索框、滚动区域、焦点 ring、popover、drawer、分页、toast、switch、slider、chip 等交互细节统一 • 多处组件改为只读 Props 标注 • 本地存储读写大量迁移到统一 hook • workflow 热键、部署状态、路由状态、表单状态等进行集中管理

这说明前端层面在做长期基础设施收敛，而不是零散补丁。

2. Web 应用体验持续优化

包括但不限于：

• onboarding 与 landing 页优化 • 主导航、偏好页、部署页、菜单和 tooltip 样式优化 • 搜索自动聚焦 • 联系支持菜单恢复 • 跳过导航链接 • 触发器、选择器、工具列表、知识列表、应用模板图标、变量选择器等体验修复 • 多处 focus ring、overlay、viewport、z-index、小屏 UI 问题修复

3. CLI 能力持续增强并逐步成型

difyctl 并不是单点功能，而是一整套命令行生态增强，包含：

• release pipeline • tokenless installer • edge distribution • host 与 account 切换 • 统一 token store • 自研 HTTP client 替换原有依赖 • 帮助系统统一 • 更好的 flags 解析错误 • 更清晰的错误包结构 • 429 限流处理 • E2E 测试完善 • 支持 DSL 导入导出 • 支持 workspace 切换与成员管理 • app-info 缓存健壮性增强 • HITL 恢复、设备流、revoke、conversation 模式等行为修正

可以看出，CLI 已经从附属工具，逐步变成正式交付能力的一部分。

4. OpenAPI 能力同步加强

与 CLI 配合，OpenAPI 在这一版也加强了很多：

• 统一错误体结构 • 请求校验与返回契约收敛 • 更严格的 app-id 与 workspace-id UUID 校验 • OpenAPI v3 相关调整 • Service API 描述文档增强 • RBAC 守卫增强 • GET 查询参数契约修复 • 多组端点集成测试补齐

5. 工作流与 Agent 系能力继续前进

这个版本中，Agent 与工作流相关更新很多，体现为：

• workflow agent node runtime • output declaration 与 inspector • Node Output Inspector 服务与接口 • Agent App 类型与绑定 • shell layer • sandbox 与 CLI agent • agent files 与云存储相关后端支持 • ask human、resume on timeout、表单节点与运行时同步 • slash menu 后端 • 技能与文件暴露、生命周期、推断工具 • roster 相关能力、调试会话、版本恢复、发布校验、重复名冲突处理等 • Workflow agent 与 console roster app 之间的保存与复制能力增强

这一系列变化说明 Dify 的 Agent 能力仍在快速扩展，而且已经越来越深地和工作流、CLI、可观测性、权限体系连接在一起。

6. 知识库与 RAG 继续补强

这一版与数据集、知识库、RAG 相关的增强和修复也很多：

• 支持 Excel 内嵌图片提取 • hit testing 相关结构与字段修复 • preserve nested null shapes • preserve hierarchical estimate rules • segment created_at 响应补充 • summary_index_setting 为 null 时的兼容 • legacy dataset config 中空工具项跳过 • 中文 unicode 存储修复搜索 • 远程文件获取逻辑集中化 • retrieval steps trace into observability

7. 安全、网络与外部连接稳定性是本次大重点

从修复点能看出，1.15.0 非常重视边界安全与外部调用稳定性：

• plugin daemon 路径遍历拦截 • SSRF 默认出口加固 • Marketplace、Nacos、Firecrawl、Jina、Watercrawl、billing 等外部 HTTP 超时边界加固 • OAuth refresh 后 credential cache 失效 • auth pipeline 中工作区成员和角色检查强化 • request origin 泄露规避 • malformed ID 更友好报错 • RBAC 在前后端多个组件中持续落地

8. RBAC 与权限体系在这一版明显深化

除了功能更新外，权限体系也扩展明显：

• RBAC 主体功能接入 • OpenAPI 增加 RBAC 保护 • 插件权限、监控权限、应用权限、数据集权限描述更新 • 环境配置增加 RBAC feature toggle • 前端 RBAC 问题修复 • 兼容无 RBAC 时的旧插件权限逻辑

9. 工程治理与测试体系继续推进

这一版在工程层面也做了很多“长期正确的事”：

• 大量服务显式注入 db.session • 多个模块由 ABC 转为 Protocol • 大量 isinstance 替换为 match-case • 大量测试从 mock logger 迁移到 caplog • 容器化测试、E2E 测试持续增强 • 类型标注补齐 • 冗余 ignore 清理 • 依赖升级与安全审计推进

这意味着 Dify 代码库在可维护性和一致性上继续提升。

二十二、这一版最需要升级用户重点关注的地方

如果你已经在生产中使用 Dify，那么升级到 1.15.0 时，建议最关注下面这些点：

• 必须执行数据库迁移 • 必须执行插件自动升级策略回填命令 • 必须对照环境变量变化更新 .env • 必须检查 Docker Compose 文件差异 • 如果用了插件、OpenAPI、CLI、RBAC、Milvus TLS、Nacos、SSRF 代理等功能，更要逐项核对配置 • 如果依赖工作流暂停与人工输入，务必关注新的 HITL 表单能力与上传表结构 • 如果业务中存在图片、视频等长耗时生成模型，建议重点验证 polling 行为 • 如果使用知识库导入 Excel，建议重新验证图片提取效果 • 如果有 Phoenix 或外部链路追踪体系，建议接入自定义 trace session id

二十三、总结：Dify 1.15.0 是一次“平台能力明显外扩”的版本

代码地址：github.com/langgenius/dify

综合来看，Dify 1.15.0 的价值不只是“修了很多 bug”或者“加了几个功能”，而是出现了几个非常明确的产品与平台趋势：

• Dify 从 Web 工具进一步走向 CLI 可调用平台 • Dify 从只看结果，走向过程可见、推理可见 • Dify 的 Human-in-the-Loop 从简单输入升级为结构化表单 • Dify 的工作流开始更稳地支持长耗时多模态模型 • Dify 的知识导入能力更贴近真实企业文档 • Dify 的可观测性、权限体系、安全边界都在加强 • Dify 的工程内部也在持续收敛、现代化和稳定化

如果你关心命令行集成、工作流透明度、人工审核节点、多模态任务支持和生产环境稳定性，那么 Dify 1.15.0 是一个非常值得升级的版本。