=
=根據 InfoQ 於 2026 年 9 月 29 日刊出、由 Michael Redlich 整理的 Spring News Roundup，2026 年 9 月 21 日當週 Spring 生態系出現一波密集的里程碑版本更新，涵蓋 Spring Boot、Spring Framework、Spring Data、Spring Security、Spring Integration、Spring Batch、Spring AMQP、Spring for Apache Kafka，以及 Spring AI、Spring Cloud、Spring Web Services、Spring LDAP 與 Spring for GraphQL 等專案。所謂里程碑版本通常代表正式版之前的階段性預覽，目的在於讓社群提前試用新 API、驗證相容性並回饋問題，而不是保證所有行為都已凍結。這波更新的共同訊號是，Spring 正要為下一輪主版本線整合 Jakarta EE、可觀測性、訊息中介與 AI 應用介面，同時持續修正空值安全、代理信任與組態通知等實務細節。
背景
這類 roundup 的價值不在單一功能，而在於它把多個專案的節奏放在同一張時間軸上。Spring Boot 4.2.0 的第二個里程碑除了錯誤修正、文件改善與相依升級外，加入可自動組態具名 SSL Bundle 到 Spring LDAP 的 LdapContextSource，並新增 management.observations.conventions=[micrometer opentelemetry] 屬性，讓應用能在 Micrometer 與 OpenTelemetry 兩套語義慣例之間切換。SSL Bundle 是把憑證、金鑰與信任材料包成可命名、可重用單位的機制，可觀測性語義則決定指標與追蹤如何命名與附帶屬性；前者影響 LDAP 這類企業目錄連線的安全設定，後者影響監控後端能否一致解讀服務行為。Spring Framework 7.1.0 第二里程碑則著重品質，包括 ScheduledAnnotationBeanPostProcessor 的空值安全改善，以及 MockCookie 的 parse() 在 Set-Cookie 回應標頭為空時的驗證更嚴謹，這些改動看似小，卻常是排程任務與 HTTP 測試在邊界條件下是否穩定的關鍵。
核心內容
資料與整合面的變化更值得架構層留意。Spring Data 2026.1.0 第二里程碑開始對 Hibernate ORM 8.0.0.Beta1 提供初步相容，以支援即將到來的 Jakarta Persistence 4.0，同時仍把基線維持在 Jakarta Persistence 3.2，這表示團隊想在規格落地前先保留緩衝，讓既有專案不至於立刻被迫升級。Redis 支援則把 JSON API 重構成 JsonOperations 介面與多個子介面，並讓 GenericJackson2JsonRedisSerializer、GenericJacksonJsonRedisSerializer 能以 raw-value slicing 實作 RedisJsonSerializer；白話說，就是把 Redis 中「文件是 JSON、可以局部讀寫」的操作抽象得更清楚，減少過去序列化與指令操作混在一起的模糊地帶。Spring Cloud 2026.0.0 代號 Paddington 的第一個里程碑以 Spring Boot 4.2.0-M2 為基底，新增 PropertyPathNotifier 介面，讓組態變更被偵測到時可透過 HTTP 通知應用；同時把 ForwardedHeadersFilter 與 XForwardedHeadersFilter 重構成預設拒絕來自不受信任代理的請求。Forwarded 與 X-Forwarded 標頭本來用來還原真實用戶端 IP、協定與主機名，但若入口代理沒有嚴格控管，攻擊者可偽造標頭影響路由、稽核或授權判斷，因此把「信任代理」變成明確前提，是雲端入口安全的重要收緊。
安全與訊息面向也延續同一方向。Spring Security 7.2.0 第二里程碑允許以 @EnableMethodSecurity 啟用 PermissionEvaluator 相關的方法安全，並簡化 ProviderManager 的空 provider 檢查；方法安全是在服務方法層級套用授權，PermissionEvaluator 則把「某主體是否對某物件有某權限」的判斷抽成可替換元件，這對領域物件權限特別有用。Spring Integration 7.2.0 新增 KafkaShareMessageDrivenChannelAdapter，作為訊息驅動的入站通道介面卡，可在兩個 listener 之間選擇；Mail Java DSL 也從 Spring Framework 的 Function<K,V> 遷移到 CheckedFunction<T,R,E>，後者可明確拋出受檢例外，讓郵件處理流程中的失敗語義更清楚。Spring AMQP 4.2.0 強化 AbstractRoutingConnectionFactory 與 AbstractRoutingAmqpConnectionFactory 的空值驗證，並開放註冊自訂 RetryListener；Spring for Apache Kafka 4.2.0 支援 JSpecify 空值註記，且允許 AbstractKafkaListenerContainerFactory 設定 KafkaAdmin。JSpecify 的意義在於讓 null 是否可出現成為更精確的型別資訊，KafkaAdmin 可用於建立或檢查 topic 等管理操作，兩者分別改善 API 可預期性與容器管理彈性。
技術脈絡解讀
新興專案顯示 Spring 正把「模型介面」與「傳統企業協定」一起納入版本節奏。Spring AI 2.1.0 第一里程碑新增 MessagePart 介面與實作，用來更準確表示當代模型回傳的多部分訊息，並新增 OpenAiResponsesChatModel，與既有 OpenAiChatModel 並存以支援 OpenAI /v1/responses 端點；這反映聊天模型已不再只是單一字串輸入輸出，工具呼叫、结构化片段與回應物件都需要更細的抽象。Spring for GraphQL 在個別條目標示為 2.1.0 第一里程碑，提供在組態時拒絕不支援 HTTP 方法的能力，並在 GraphQlHttpHandler 與 GraphQlSseHandler 新增 builder 以支援 HTTP GET；由於 GET 對 GraphQL 查詢有快取與語義限制，是否開放需要明確設計，而不是預設放行。Spring LDAP 4.2.0 第一里程碑讓 DirContextAdapter 在交給 ContextMapper 或 AttributesMapper 前可被後處理，並可自訂 remove-by-value 判斷；Spring Web Services 5.1.0 則新增 handleInvalidXmlException 以支援 SOAP/JMS 在 InvalidXmlException 發生時的處理，並整合 Micrometer Observation API 做 web service exchange 的度量與追蹤。這裡的共同主題是邊界更明確：哪些代理可信、哪些 HTTP 方法可用、哪些回應片段算合法、哪些 XML 錯誤能被攔截。
影響與限制
對實務團隊而言，這波里程碑最重要的不是立刻升級，而是辨識哪些變更會影響升級路徑。使用 Redis JSON 的系統應評估 JsonOperations 是否簡化局部更新；暴露在反向代理後方的服務要檢查 Forwarded 標頭信任鏈；導入方法安全的團隊可關注 PermissionEvaluator 與 @EnableMethodSecurity 的組合是否降低自訂切面成本；AI 與 GraphQL 相關系統則需測試多部分訊息與 GET/SSE 行為是否符合客戶端預期。限制也很清楚：里程碑版本可能改動 API，文件與 release notes 才是最終依據；InfoQ 總覽把多專案放在同一波敘事中，但各條目的里程碑序號並不完全一致，Spring for GraphQL 在細節中標為第一里程碑即是一例，因此不應以週報標題取代各專案版本頁。整體來看，Spring 正把可觀測性、空值安全、代理信任、資料庫規格過渡與模型訊息抽象收束成下一代平台語言，短期是預覽，長期則是升級前的風險地圖。本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。