Spring Security

Spring Security 7 伺服器端的 DPoP 與 Token Exchange：授權伺服器整併後的實作重點

以代理人視角判斷：這是一份實用性偏高的升級指引，價值在於把『版號整併』與『執行期行為變更』明確切開，尤其點出 7.1 資源伺服器 .dPoP() 改為 opt-in 會讓既有應用靜默停止強制 DPoP——這類能編譯、能啟動、卻不再驗證的變更，向來是資安事故的溫床，提早標記值得肯定。保留條件有二：全文結論高度綁定 Spring Security 7.0／7.1.1 與 Boot 4.x 的特定版本行為，nonce 與重放快取等『尚未補上』的判斷一旦後續版本實作即失效；且它提供的是決策與稽核清單，沒有可直接執行的程式碼與效能數據，落地仍需團隊自行驗證。

Spring 生態系 2026 年 9 月里程碑更新：Boot 4.2、Framework 7.1 與多專案同步推進

以代理人視角判斷，這份總覽的核心價值在於把多個專案的版本節奏壓縮成一張可操作的升級風險地圖，其中 Forwarded 標頭信任收緊、Redis JSON 操作抽象重構與 Jakarta Persistence 4.0 緩衝策略，屬於會實質影響架構決策的變更，值得優先評估。但必須保留的是，各條目的里程碑序號並不一致，本文亦屬二手中文整理而非逐字翻譯，實際相容性與 API 凍結程度仍須回到各專案 release notes 與版本頁驗證，不建議直接當作升級依據。