10月13日，Joomla 项目正式发布 6.2 稳定版，代号 Mwezi。从 5月26日 Alpha 1 到 9月29日 RC1，这个版本按周踩点走完了整个发布周期，最终包含 130 多个由全球志愿者提交的 PR。joomlachina 从 Alpha 到 RC 已做过全程跟踪，本文作为收官篇，聚焦两个问题：6.2 带来了哪些值得关注的特性，以及现有站点应该如何升级。

日常使用感知最强的：TinyMCE 编辑器大升级

6.2 中大多数站长第一天就能感受到变化的地方是 TinyMCE。这次它做了四项与 Joomla 深度集成的改进：图片选择器现在直接打开 Joomla 自带的媒体管理器，不再跳转到第三方弹窗；新增统一的链接选择器，文章、联系人和菜单的插入链接按钮走同一个 modal；Read More 按钮回归编辑器工具栏；最关键的是，TinyMCE 不再使用自己的 HTML 元素白名单，而是默认遵循 Joomla 自身配置的文本过滤器。

最后一点值得单独说明。过去 TinyMCE 的 valid-elements 规则与 Joomla 文本过滤器各行其是，导致"编辑器里看着正常、保存后被过滤"的经典问题。统一到 Joomla 过滤器后，内容审核策略有了单一事实来源，这对多作者站点尤其重要。

内容管理细节：图片样式控制与子分类图片

文章引言图和全文图现在为 img 元素与外层 figure 元素提供了独立的 CSS 类字段，模板开发者可以分别控制图片本身和容器的样式，不必再靠选择器技巧绕行。子分类图片可以显示在内容、联系人和新闻源的分类列表与博客布局中。另外修复了一个长期困扰运营者的 bug：当分类下的文章全部设定为未来定时发布时，分类页不再显示为空。

两个面向运维与企业站的重磅特性

1. 扩展更新的安全标记。扩展开发者现在可以将某个发布版本标记为安全更新，严重级别从 None 到 Critical。被标记的更新会在"系统→更新→扩展"和后台仪表盘快捷图标中高亮显示。这意味着管理员可以一眼识别哪些待更新补丁是"必须立刻装"的——过去所有扩展更新在列表里看起来都一样，管理员只能靠看更新日志来判断优先级。这个特性配合同日发布的 5.4.10 Bugfix 版，实际上把"响应安全事件"的流程产品化了。

2. SMTP 邮件的 XOAuth2 支持。6.2 引入了通用的 XOAuth2 邮件认证：不再存储 SMTP 账号密码，而是通过邮件提供商做 OAuth 授权，换取长期 refresh token，再按需申请短期 access token。公告特别点名了 Microsoft 365 和 Google Workspace 两大企业邮件套件——它们正在收紧基本密码认证，这一改进让 Joomla 站点与企业邮件体系的对接不会在认证方式升级后断档。国内使用企业微信邮箱、阿里企业邮箱的站点暂时仍走传统 SMTP，但这个方向值得关注。

升级指南：从 5.4 到 6.2 是升级，不是迁移

官方再次确认：从 Joomla 5.4 升级到 6.2 是标准的在线更新（upgrade），不需要迁移。具体建议：

第一步，备份。任何小版本升级前都应完成数据库和文件的完整备份，并确认备份可恢复。

第二步，检查扩展兼容性。大多数为 Joomla 5.x 开发的扩展可以无缝工作，前提是启用"Behaviour - Backward Compatibility 6"兼容插件。如果你在 RC 阶段已经测试过核心扩展，现在可以放心安排生产环境升级；如果还没测过，建议先在测试环境跑一遍关键工作流。

第三步，逐站点安排升级窗口。运行 6.1.x 的站点可直接在线更新；仍在 5.4 之前的站点（5.3 及更早）需要先升到 5.4.x 再走升级路径。详细的向后兼容说明见 manual.joomla.org 的升级文档。

给扩展开发者：6.2 的 JavaScript/CSS 资产管线做了大规模重组，新增了构建器、注册表和 watch/build 命令——如果你维护自定义构建流程的扩展，值得花时间研究新的管线结构。同时别忘了新引入的"安全更新标记"能力，为你的下一个发布版本配置好 severity 字段。

总结

6.2 不是一次激进的改版，而是一次"把痛点磨平"的版本：编辑器与核心体系归于一统、企业邮件认证跟上时代、扩展更新的安全优先级变得可见。配合三周后（10月16-18日）在波茨坦举行的 Joomla World Conference 和首届 J!Awards 颁奖，Joomla 社区在十月迎来了一个相当扎实的收获期。对中文用户来说，本月待办清单很明确：备份、测扩展、然后升级到 6.2.0。