从 Java 与 Spring，到 AI 与开源。分享经得起实践的知识，和认真做技术的人一起成长。
用 Spring Boot 4.1.1 的 InetAddressFilter.externalAddresses() 实测 JDK、Apache、Jetty、Reactor Netty 四种底层客户端：回环、元数据、内网和十进制地址全部被拦，公网 IP 正常放行；RestClient 抛出的异常却分成裸 FilteredHostException 和 ResourceAccessException 两种，fake-ip DNS 下所有域名也会一并被拦。
Vercel 10 月 19 日 changelog：AI Gateway 上的 MiniMax M3.1 Flash 免费到 10 月 22 日；要用 providerOptions.gateway.order 钉住 minimax，否则网关可能走到别的提供方。附 Spring AI 2.0 配置与编译结果。
开源社交媒体调度工具 Postiz 由 Nevo David 从 2024 年 9 月做起，代码 AGPL 开源，钱来自托管订阅。TrustMRR 用 Stripe 校验的看板显示，2026 年 10 月 20 日 MRR 约 29.2 万美元、活跃订阅 8537 个。按创始人公开帖和定价页，复盘从每月 1.4 万美元走到近 29 万美元的路径和四档价格。
JEP 539 已 Integrated 进 JDK 28。用 Class-File API 在 28-ea+20 上生成三种类对照：普通 static 未赋值读到 null；STRICT_INIT 未在 clinit 赋值则 IllegalStateException；clinit 里赋好值则可正常读写。加载预览 class 必须加 --enable-preview。
Oracle 2026 年 10 月 CPU 已正式发布，MySQL 共 98 个新补丁，29 个可无认证远程利用，OpenSSL 与 curl 两条同为 CVSS 9.8。10-21 核对时 mysql:8.4 还停在 8.4.11；10-22 22:16 北京时间再查，浮动标签已指向 8.4.13 与 9.7.4。Spring Boot 4.1.1 默认的 Connector/J 9.7.0 不在 Connector/J 受影响名单里。
OpenCode 2.1.0（2026-10-20）把会话归档加回来了。本机装 @opencode/cli 2.1.1 后，对已有会话 session.update 设 archived=true，session.list 只有带 archived=true/false 才会分开；不带参数的默认列表仍会带上已归档会话。同项目里 experimental.todo 也能被 debug config 读到。
Oracle 10 月 CPU 完整公告已发布，OpenJDK 27.0.1+9 同步放出。HttpServer 按 RFC 9112 校验 Host，缺头或多头回 400；同代码在未打本轮补丁的 JDK 21.0.12.1 上仍是 200。
HeyGen 在 10 月 21 日更新的博客里说，Voice Turbo 在 API 里免费到 2026 年 11 月 30 日，不用绑卡。免费的是单独的 heygen-voice-1-turbo-free，写成 heygen-voice-1-turbo 或用默认模型照常计费；共享容量满了回 429，不会自动转付费。附 Spring Boot 4.1 RestClient 接法和真实请求的 401 返回。
Google ADK Java 1.13.0 的 Workflow 能从起点跑完整张图，并行、汇合、按路由分流都能走通，两个终点都产出结果时抛 WorkflowConfigurationException。实测两条并行分支的 runNode 都在 main 线程上被调起，节点返回异步结果时总耗时 306ms，节点里阻塞 sleep 时变成 609ms。ADK 工具转 MCP 的 inputSchema 在 1.12.0 报 6 个元模式错误，1.13.0 为 0；开发服务器默认拒绝跨域请求。
Google ADK Java 1.13.0 的 dev 服务器默认只放同源，并新增 DNS rebinding 防护。对照 1.12.0：跨域请求从 200 加 ACAO * 变成 403。dev README 写明 AdkWebServer.start() 不设 server.address，此时 Host 检查不开启，只伪造 Host、不带 Origin 的 GET 仍回 200，设 server.address=127.0.0.1 后被拦。
