Spring新闻汇总：Boot、Framework、Data、Security、Modulith、批量的首个里程碑发布

在上周许多Spring生态系统发布了10周后（除相关的报道“），最近出现了大量的活动，值得关注的是以下项目的首个里程碑发布：Spring Boot、Spring Framework、Spring Data、Spring Security、Spring Integration、Spring HATEOAS、Spring Modulith、Spring Batch、Spring AMQP和Spring for Apache Kafka。超过90个CVE在Spring项目中得到修复，论文将介绍其中的一部分。更多细节除Spring Security Advisories”页面。Spring Boot Spring Boot 4.2.0的第一个里程碑发布“包含了缺陷修复、文档改进、依赖升级以及新功能，例如，对AMQP 1.0”规范（包含来自RabbitMQ”的功能）的支持，以及使用Eclipse Jetty的GracefulHandler类（替代StatisticsHandler），用于协调Jetty的优雅关闭。更多细节见发布说明“与wiki”。 Spring Framework Spring Framework 7.1.0的第一个里程碑发布包含缺陷修复、依赖升级和新功能，例如，在ResolvableType类中新增的forParameter()方法，作为便捷工厂方法为指定的Java参数实例返回一个ResolvableType，以及在ParameterResolutionDelegate类中对自定义参数名的支持。有关破坏性变更与废弃的更多细节参见发布说明“。 Spring Data Spring Data 2026.1.0的首个里程碑发布“提供缺陷修复、文档改进、依赖升级及一项新功能，匡引入了RedisJsonTemplate类，为Redis JSON”提供初步支持。子项目也有升级，包括，Spring Data Commons 4.2.0-M1、Spring Data MongoDB 5.2.0-M1、Spring Data Elasticsearch 6.2.0-M1与Spring Data Neo4j 8.2.0-M1。 Spring Security Spring Security 7.2.0的第一个里程碑包含发布缺陷修复、依赖升级与新功能，例如，在XML命名空间中隐式检测Spring Framework接口CorsConfigurationSource与PreFlightRequestHandler的能力，与对类CorsConfigurer的类似检测保持一致，以及在OneTimeTokenAuthenticationProvider类中增加了在授权账户前的预认证检查。更多细节除发布说明外。 Spring Integration Spring Integration 7.2.0的第一个里程碑发布“缺陷修复、依赖升级与新特性，例如，在 JdbcMetadataStore 类中更新 putIfAbsent() 方法，配置包含配置行的 METADATA_VALUE 和 null 时返回 null，以及对已弃用的 Spring FrameworkRestTemplate 类所用 HTTP 出站网关配置的修复。本次发布中修复的 CVE 包括： CVE-2026-59307 “：由于在JdbcMessageStore类中的addAllowedPatterns()方法替换存储的反序列化转换器为新的permit-all实例，但行映射器仍然保留原引用并继续使用它，这会导致调用者以为已强制执行允许列表，但仍然可能出现Java反序列化远程代码执行，从而允许攻击者向INT_MESSAGE.MESSAGE_CONTENT读取字节。CVE-2026-59321 “：当使用JSR-223（ Scripting for the Java Platform”）的脚本引擎并报告THREADING=null时，处理消息可能破坏引擎的内部状态，从而可能导致消息的与头信息绑定到其他消息的脚本评估中或发布非预期的异常。 更多参见发布说明“与新特性”页面。 Spring HATEOAS Spring HATEOAS 3.2.0的首个细节发布提供个依赖升级并与Kotlin 2.2和Jackson保持3.2的兼容性。更多参见发布说明“。Spring Modulith Spring Modulith 2.2.0的第一个里程碑发布”包含缺陷修复、独立升级与完善改进：在spring-modulith-events-core模块中使用Namastack版本属性，以及对自动配置注册的现代化改造，移除了moments、events与observability模块中设置旧有的spring.factories属性的做法。更多细节参见发布说明“。Spring Batch Spring Batch 6.1.0的首个里程碑发布“包含缺陷修复和依赖升级，包括Spring Framework 7.1.0-M1、Spring Integration 7.2.0-M1、Spring AMQP 4.2.0-M1、Spring for Apache Kafka 4.2.0-M1、Spring Data 2026.1.0-M1与Micrometer 1.18.0-M1。更多细节请参阅发布说明”。 Spring AMQP Spring AMQP 4.2.0的第一个里程碑发布“包含缺陷修复、文档改进、依赖升级和新功能，例如，新增的RoutingAmqpConnectionFactory接口与AbstractRoutingAmqpConnectionFactory类，可以将getConnection()调用路由到多个目标AmqpConnectionFactory，以及用新的RestClientNodeLocator类，以替换已废弃的RestTemplateNodeLocator类。本次发布中修复的CVE包括：CVE-2026-47860“：攻击者可向启用消息解压缩的应用消费队列发布1MB的消息，可能导致消费者JVM崩溃终止应用，这种情况需要运维人员手动清理消息。CVE-2026-59271 "：在RabbitMQ管理性（aliveness）检查失败时，配置的管理员密码可能以明文嵌入推送的异常消息中，任何具有日志读取权限的人都从日志中获取它。更多除细节发布说明“与新特性”页面。 Spring for Apache Kafka Spring for Apache Kafka 4.2.0的第一个里程碑发布包含缺陷修复、文档改进、依赖升级及一项新功能，即通过@KafkaListener注解实现了批量与非批量可重置性的一致性。更多细节参见发布说明"。 查看英文译文： Spring News Roundup: First Milestone Releases for Boot, Framework, Data, Security, Modulith, Batch "