Vert.x 5.2.3：共享 CachingWebClient 不再串用户响应
Vert.x 5.2.3（2026-11-03）修 CVE-2026-118489：共享 CachingWebClient 不再把带 Authorization 的响应当普通可缓存内容塞进共享层。Spring Boot 4.1.2 对照：5.2.2 上 Bob 拿到 Alice 的 Bearer|UUID；5.2.3 各拿各的，session 私有缓存仍命中。
开源精选
在这个技术方向，积累扎实的知识与实践。
共 118 篇文章Netty 4.2.20：超大 HTTP 版本号不再静默溢出
Netty 4.2.20.Final（2026-11-02，同修 4.1.140.Final）修 HttpVersion 宽松解析：超大版本数字以前静默 int 溢出，H/9999999999.1 会变成 H/1410065407.1；现在抛 IllegalArgumentException。Spring Boot 4.1.2 默认仍是 4.2.19，需显式抬 netty.version。
Hibernate Validator 9.1.6：record 类级消息不再吐 EL 原文
Hibernate Validator 9.1.6.Final（2026-11-01，同修 9.0.3.Final）修 HV-2283：类级约束消息里访问 record 组件，9.1.5 刷 HV000129 且 MESSAGE 留 EL 原文；9.1.6 能拼出真实值。Spring Boot 4.1.2 默认仍是 9.1.5，需显式抬版本。
MariaDB Connector/J 3.5.11：latin1 结果集直接关连接
GitHub 2026-10-30 公告 GHSA-grfq-r75j-rw9x（CVE-2026-119281）：Connector/J 3.5.10 把 character_set_results 改成 latin1 后仍开着，中文变 ????；3.5.11 抛 SQLNonTransientConnectionException 关连接。Spring Boot 4.1.2 + Hikari 双独立进程对照。
Kafka 4.4.0：JWKS 开了却没配 audience，进程直接拒启
Kafka 4.4.0 起，Broker 配了 SASL/OAUTHBEARER 的 JWKS 地址却没写 expected.audience / expected.issuer，进程会直接 ConfigException 拒启。4.3.1 同配置只打 WARN，照样 Kafka Server st
Kafka 4.4.0 回退到 4.3：能起来，能力掉回 4.3-IV0
4.4.0 格式化过的盘回退到 4.3.1：进程能起来，FeaturesPublisher 却落到 4.3-IV0，share 等能力 silently 缩水。回退前先看目录再验 feature。
OTel 1.67：tracestate 十万空格，抽取从 4 秒到 0
GitHub 2026-10-28 公告 GHSA-ccrj-gw8r-854m（CVE-2026-118259）：opentelemetry-api ≤1.66.0 解析超长空格 tracestate 会二次方吃 CPU。Boot 4.1.2 BOM 仍钉 1.62.0；同输入双独立进程 1.62.0 抽取 4119 ms，1.67.0 为 0 ms。
Reactor Netty maxPipelineDepth：Boot 4.1.2 才带
Reactor Netty 1.3.8 给 HttpServer 加了 maxPipelineDepth；Boot 4.1.2 已带上，4.1.1 的 1.3.7 没有。调到 1 后同连接流水线只回一条。
Camel 4.22.2 修 Saxon XXE，4.22.1 回 canary
Camel 4.22.2（2026-10-22）修 CVE-2026-90885：消息体已是 Source 时 XQuery 直接交给 Saxon。Spring Boot 4.1.1 双进程对照，4.22.1 回 200 带出 canary，4.22.2 回 400 拒绝 DOCTYPE。
JDK 27.0.1 的 HttpServer：缺 Host 或多 Host 都回 400
Oracle 10 月 CPU 完整公告已发布，OpenJDK 27.0.1+9 同步放出。HttpServer 按 RFC 9112 校验 Host，缺头或多头回 400；同代码在未打本轮补丁的 JDK 21.0.12.1 上仍是 200。