摘要
本版本修复了一个严重的安全漏洞：禁用工具此前只会过滤 tools/list，攻击者仍可通过 tools/call 调用它们——针对 Gmail、Microsoft 365 或 Nextcloud 的「只读」连接因此可能被悄然绕过，包括通过提示注入的方式。现在禁用工具会在执行时真正生效。登录限流改为只统计失败的尝试且阈值可调整，API 调用方与服务账号在令牌续期时不再因成功登录而被误锁。新增分组可见性控制，支持 private、group、public 三种范围及按选定用户共享，并在分组 API、MCP/SSE 路由与嵌套服务器元数据中全面执行。可靠性与打磨：OAuth 客户端仅在凭据持久化成功后才进入缓存，Docker 快速上手流程得到简化且保留旧挂载，控制台日志按进程本地时区渲染时间戳。
功能
- 为分组添加可见性控制 by @samanhappy in https://github.com/samanhappy/mcphub/pull/1175
修复
- 修复被禁用工具仍可通过 tools/call 执行的问题 [严重] by @sragot in https://github.com/samanhappy/mcphub/pull/1178
- 只统计失败的认证尝试并允许调整限流阈值 by @11113127 in https://github.com/samanhappy/mcphub/pull/1135
- 仅在凭据持久化成功后缓存 OAuth 客户端 by @samanhappy in https://github.com/samanhappy/mcphub/pull/1169
- 简化 Docker 快速上手流程，同时保留旧挂载 by @samanhappy in https://github.com/samanhappy/mcphub/pull/1173
- 使用进程本地时区渲染控制台时间戳 by @SAXEM1997 in https://github.com/samanhappy/mcphub/pull/1171