今日主线：Spring 生态在安全报告暴增后，把两周错峰列车改成每月统一的「Patch Thursday」；同一波里程碑里，Framework 7.1、Boot 4.2、Cloud Paddington 一起往 November 功能版推进，并顺带带上 Java 27 GA。
今日重点
- Spring 改为每月 Patch Thursday：全产品线同一天发版，首个常规补丁日是 10 月 22 日；9 月这趟只发里程碑。
- Spring Boot 4.2.0-M2：LDAP/LDAPS 的 SSL Bundle，以及 OpenTelemetry 语义约定与统一 OTLP 配置。
- Spring Framework 7.1.0-M2：JdbcClient 批量更新、QUERY 方法、WebFlux OTel 约定，并收紧 SpEL / 属性路径嵌套深度。
- Spring Cloud 2026.0.0-M1「Paddington」：基于 Boot 4.2.0-M2，Gateway 收紧不可信代理的转发头处理。
- JDK 27 已 GA：默认 G1、紧凑对象头、后量子 TLS 混合密钥交换。
行业
Spring 发布节奏改成「Patch Thursday」，安全补丁按月对齐
9 月 21 日，Michael Minella 在官方博客宣布：Spring 发布列车从「两周、按依赖层级错峰」改成「每月第三周后的那个周四，全产品线同一天发布」。首个常规补丁日是 10 月 22 日；9 月 24 日这趟只发里程碑，为 November 功能版铺路。
改节奏的直接原因是安全报告量。官方称自 3 月以来，社区安全报告月均近 80 条，近期已修复超过 160 个 CVE，并明确把 AI 辅助漏洞发现列为压力来源之一。错峰发布会让同一批跨 Framework、Security、Boot 的修复散在多天；统一到一天，方便生产团队按固定窗口升级。
spring.io/security 也从博客流改成可按 CVE、严重级别、项目过滤的告警页，适应单月几十上百条 advisory 的规模。
来源：https://spring.io/blog/2026/09/21/releasing-spring-for-modern-challenges
参考：https://javarubberduck.com/java/news-2026-09-27-spring/
产品
Spring Boot 4.2.0-M2：LDAP 证书与 OTel 约定一起补
9 月 25 日，Spring Boot 4.2.0-M2 上 Maven Central，包含 141 项增强、文档、依赖升级与缺陷修复。官方点名的两项是：SSL Bundle 覆盖 LDAP（含嵌入式 LDAP 的 LDAPS），以及 OpenTelemetry 语义约定，并提供 traces / metrics / logs 共用的 OTLP endpoint、header、compression 配置。
这是 4.2 GA 前的第二个里程碑，与 Framework、Batch、Security、Data 等产品线的 M2 同一波。已经在跑 Boot 4.1 的团队，可以用它提前验证可观测性与 LDAP 证书配置是否跟得上新属性。
来源：https://spring.io/blog/2026/09/25/spring-boot-4-2-0-M2-available-now
Spring Framework 7.1.0-M2：数据访问与 HTTP 能力继续补齐
9 月 24 日，Spring Framework 7.1.0-M2 发布。功能侧值得记的有：JdbcClient 增加批量更新；新增 RFC 10008 的 QUERY HTTP 方法支持；WebFlux 增加 OpenTelemetry observation convention；并把属性路径支持抽成 PropertyPath。安全与稳健性方面，SpEL 与属性路径都加了可配置的嵌套深度限制，降低畸形输入带来的风险；Derby 支持进入弃用路径。
依赖升级包括 Kotlin 2.4.20、Micrometer 1.18.0-M2 / Tracing 1.8.0-M2、Reactor 2026.0.0-M2。和 Boot 4.2.0-M2、Cloud Paddington 是同一列车，适合一起做里程碑验证，而不是单独追某个模块。
来源：https://github.com/spring-projects/spring-framework/releases/tag/v7.1.0-M2
Spring Cloud Paddington：下一列车启动，Gateway 转发头更严
9 月 24 日，Spring Cloud 2026.0.0-M1（Paddington）发布，基于 Spring Boot 4.2.0-M2，15 个核心模块升到 5.1.0-M1。值得关注的变更包括：Circuitbreaker 升到 Resilience4J 2.4.0；Config 增加 HTTP property-path notifier 与 Azure DevOps workload identity；Gateway 的 retry 迁到 Spring Framework 核心，并加固对不可信代理转发头的处理；OpenFeign 升到 Feign 13.14；Vault 升到 Spring Vault 4.1.0。
若服务前面有多层代理，Gateway 转发头规则变严后，下游看到的客户端 IP 与 scheme 可能变化，升级前值得在预发对一下。
来源：https://spring.io/blog/2026/09/24/spring-cloud-2026-0-0-M1-has-been-released
平台
JDK 27 已 GA：默认 G1、紧凑对象头、后量子 TLS
9 月 15 日，Oracle 宣布 JDK 27 正式可用。九项 JEP 里，生产侧最直接的是：G1 成为所有环境的默认 GC；紧凑对象头默认开启以减小堆占用；TLS 1.3 支持后量子混合密钥交换；JFR 支持进程内数据脱敏。语言与库侧还有 Lazy Constants、结构化并发、模式匹配中的原始类型等预览能力。
JDK 27 是非 LTS，Oracle 更新到 2027 年 3 月。已稳定在 Java 25 LTS 的团队可以先做评估；跟半年一版节奏的团队，可以把默认 GC 与对象头变化纳入回归清单。
来源：https://blogs.oracle.com/java/the-arrival-of-java-27
今日判断
这周的关键词是「按月对齐」。Spring 把补丁日做成可预期的 Patch Thursday，Framework / Boot / Cloud 的里程碑也压在同一列车上。对 Spring / Java 团队来说，接下来比追单个新特性更要紧的是：把依赖升级窗口对齐到每月那个周四，并在里程碑阶段先验证 LDAP 证书、OTel 配置、Gateway 转发头和 SpEL / 属性路径深度限制。