Salesforce 平台周报 2026-08-31

本期要点

• Winter ‘27 本次强制：SOAP API login() 要求调用者持有 Use Any API Auth 权限，Profile Filtering 默认开启——集成用户和只读角色需要提前核对权限。
• OAuth 退役时间表落定：device flow 2026-11-30 收紧到 local external client app，user-agent / hybrid user-agent / username-password flow 统一在 2027-02-20 停用。
• Connected App 整体迁移到 External Client App：Winter ‘27 起可迁移，Summer ‘27 对 production 强制，之后 connected app 不再获得修复和新授权流支持。
• Apex 侧两项新增：Apex Cursors 支持 Data 360 DMO 查询（Beta），新增 SF_Archive namespace 用于在测试中避开对 archived data 的实时 callout。
• Salesforce Platform API 31.0–40.0 确认在 Summer ‘27 弃用、Summer ‘28 退役。

Release Updates

来源：Winter ‘27 Release Updates

本次（Winter ‘27）强制

• Assign Use Any API Auth Permission for SOAP login()：所有用户必须被赋予 Use Any API Auth 权限，否则通过 SOAP API login() 认证直接报错。集成用户是主要受影响对象。
• Enable Profile Filtering：默认开启后，用户只能看到自己的 profile 名称，除非拥有 View All Profiles 权限。强制前需要给依赖此可见性的角色补权限。
• 三项 Lightning Experience 无障碍增强（cards / docked containers / menu lists / panels，date pickers / popovers / bottom utility bars / record headers，page headers / modal windows）在 Winter ‘27 一并强制。后两项此前已从 Summer ‘26 推迟。

2026 年底前强制

• Restrict the OAuth 2.0 Device Flow to Local External Client Apps — 2026-11-30 强制。device flow 只允许 local external client app 且 callback 为 localhost；connected app 必须先迁到 external client app 才能继续用。
• Maintain Your Email Verification Exception — 2026-12-01 强制。此前通过 Support 关闭用户邮箱验证的 org，需要配置 authorized email domain，否则现有 allowlist 被移除后用户发信会受影响。原 Adopt Authorized Email Domains 已取消，由此更新替代。

Spring ‘27 强制

• OAuth User-Agent and Hybrid User-Agent Flows Retirement — 2027-02-20。改用 web-server 或 hybrid web-server flow + PKCE。
• Retirement of OAuth 2.0 Username-Password Flow for Connected Apps — 由 Winter ‘27 推迟到 2027-02-20。所有仍在用该 flow 的集成会中断，改用 web-server 或 client credentials flow。
• Remove Non-Public Fields from Custom Object Data in Aura Action Responses：Aura action 返回的自定义对象数据将过滤掉非公开系统字段，依赖这些字段的组件会出现 JS 错误或数据缺失。
• Update Apex Code and Flows for Changed Sharing Recalculation Behavior：大规模 group / role 变更后部分 sharing 重算转为异步，依赖同步重算的 Apex、trigger、test 和 Flow 会失败。
• Update Instanced URLs in API Traffic：由 Spring ‘26 推迟到 Spring ‘27，API 流量需使用 org 的 My Domain 登录 URL。
• Salesforce Connect Cross-Org Adapter Legacy Authentication：password 与 OAuth 2.0 认证方式退役，external data source 迁到 named credentials。
• Salesforce to Salesforce Is Being Retired：Spring ‘27 退役，官方给出的替代是 Partner Cloud、Data Cloud One、MuleSoft Anypoint 或 MuleSoft for Flow。
• View Setup Audit Trail Permission：新增独立权限控制 Setup Audit Trail 访问，现有访问自动保留，新用户需显式分配。

Summer ‘27 及以后

• Migrate All Connected Apps to External Client Apps：Winter ‘27 起可用，Summer ‘27 对 production 强制。connected app 仍能运行，但不再有 bug fix、集成和授权流支持。
• Block Apex Anonymous Code Execution from Managed Packages：阻止 managed package 用 UserInfo.getSessionId() 取到的 session ID 执行 anonymous Apex。
• SOAP API login() Call in SOAP API Versions 31.0 Through 64.0：Summer ‘27 停止支持并下线。
• Optimize Performance for Revenue Management：Configuration API 优化，Winter ‘27 起可在 sandbox 做 test run。

版本说明变更

来源：Release Note Changes

Platform / Apex / API

• 新增 Apex Cursors 支持 Data 360 DMO 查询（Beta）（8 月 31 日当周）。
• 新增 SF_Archive namespace 的 New and Changed Items（8 月 31 日当周），用途是在 Apex 测试中模拟 archived data，不发起实时 callout。
• Metadata API 新增 FlowSettings 字段，可通过 Metadata API 控制 Process Automation Settings 里的 Enable the Automation Lightning App 组织偏好（8 月 31 日当周）。
• Handle Larger Datasets with Increased Apex Heap Limits 更新（8 月 24 日当周）：“Enforce the Summer ‘26 Apex heap limit” 按钮改为在所有 Winter ‘27 非生产 org 可用，此前的说法是只在 production 升级到 Winter ‘27 之前可用。
• Reduce Overhead by Recompiling Only Invalid Apex Classes and Triggers 更新（8 月 24 日当周）：澄清 Setup 中 “Compile only invalid classes / triggers” 的实际行为。
• GraphQL API 与 Metadata API 新增说明（8 月 24 日当周）：admin 可控制 guest user 对 GraphQL API 的访问。
• API 版本 31.0–40.0 的退役说明更新（8 月 24 日当周）：Summer ‘27 弃用、Summer ‘28 退役；同时移除了已过时的 21.0–30.0 退役说明。
• Metadata API 与 Tooling API 新增说明（8 月 17 日当周）：Record Query Flow 中访问关联 DMO 记录，以及显式以 user context 运行 Flow。
• Lightning Components 新增 LWC Skills（8 月 24 日当周）；同期从 lightning-input / lightning:input 的变更说明中移除了 color picker 更新，该功能未对外就绪。
• Experience Builder 版本的 Request Approvals Component 被移除（8 月 31 日当周）。

Automation / Flow

• 新增 Split Flow Paths by Date or Field Value Without Expressions（8 月 24 日当周）。
• Test Flows with Primitive Collection Inputs 范围收窄（8 月 24 日当周）：仅支持 primitive collection，record collection 已移出，并补充了 Setup 步骤。
• Test Flows with Specific Records by Entering a Record ID 补充 Setup 步骤（8 月 24 日当周）。
• 移除 Reduce Limit Failures in Scheduled Flows with Dynamic Batch Sizing（8 月 24 日当周）与 Set the Window Size for a Screen Flow Quick Action（8 月 17 日当周），两项均未就绪。
• Add Multiple Flow Approval Processes to a Record with the Request Approvals Component 更新（8 月 31 日当周）：删去 Experience Builder 版本的相关描述。
• Flow Builder 键盘快捷键说明新增两个快捷键（8 月 24 日当周）。

Agentforce / Headless 360

• Gemini 2.5 Pro、Flash、Flash-Lite 将于 2026-10-20 当周开始 reroute（8 月 24 日当周新增）。
• Agentforce Platform 默认启用：Winter ‘27 新建 org 自动生效，存量 org 从 2026 年 9 月起分批推进（8 月 24 日当周新增）。
• Simplified Agent Metadata Types：8 月 24 日当周起在 preview sandbox 可用，用于跨 org 迁移 agent（8 月 24 日当周新增）。
• Headless 360 新增 Equip Your AI Coding Agent with Salesforce Skills、Data 360 MCP Server 配置 Document AI、API Catalog Connect REST API 管理 API 与 MCP server、Agentforce for Flow 生成 Flow 测试场景。

其他移除

• Joined Report 的 Show Only Matching Records Across Blocks（Beta） 与 Data 360 Reports 的 Improved Report Search（Beta） 均在 8 月 24 日当周被移除。

值得一读

• Shift Left Natively: Testing and Quality Gates in DevOps Center —— DevOps Center 的 testing 已 GA，讲怎么把自动化测试和 quality gate 前置到变更进 production 之前。
• 新しいAgentforceメタデータと開発ライフサイクル（日文）—— 配合上面 Simplified Agent Metadata Types 一起看：带版本的 metadata 模型和 Agent Script 如何消除跨 org 的连带影响、简化 code review。
• Headless Experience Layer によるカスタムウィジェット（日文）—— HXL + MCP 的七步实操，把 Opportunity 数据以真实 UI card 的形式渲染进外部 AI agent 应用。
• Claude CodeでSalesforceエージェントスキルを構築する（日文）—— 与 Headless 360 新增的 “Salesforce Skills” 条目对应，讲怎么用结构化工作流和校验工具约束 AI 生成的代码。
• Security Center Essentials —— 把散落在多个 Setup 页面的权限、connected app、IP 范围审计集中到 Security Center 的做法。
• What Does the Salesforce Platform App Builder Certification Prove Today? —— Platform App Builder 考试刚更新，这期播客讲改了什么、怎么准备。
• Bring CRM Conversations Into Slack With Salesforce Channels and Slackbot —— Salesforce Channels 与 Slackbot 的接入方式。

Known Issues

近两周有状态更新的平台级问题（来源：Salesforce Known Issues）：

• SSO 登录在已获 MFA 豁免的情况下仍被要求走 Salesforce MFA（Platform / Identity & Authentication，Found in Summer ‘26，8 月 27 日更新，状态 Solution Deploying，210 例上报）。影响已申请 MFA enforcement 豁免、且启用了相关设置的 org。
• 已启用 phishing-resistant MFA enforcement 的 org 中 Lightning Login 存在问题（Platform / Identity & Authentication，8 月 27 日更新，状态 Solution Scheduled，59 例上报）。管理员在未注册 passkey 的情况下仍可通过 Lightning Login 登录，绕过了 phishing-resistant MFA 的强制。

公告

• Manage Connected Apps 功能中断（2026-08-24）：部分客户加载 “Manage Connected Apps” 页面时出现 timeout。原因是 version 264 引入、并 backport 到 version 262 的一次认证调用。Salesforce 尚未给出后续更新。考虑到 connected app 正处在向 external client app 迁移的窗口期，做迁移评估时留意这个页面的可用性。