在这个技术方向，积累扎实的知识与实践。
共 118 篇文章Google ADK Java 1.13.0 的 dev 服务器默认只放同源，并新增 DNS rebinding 防护。对照 1.12.0：跨域请求从 200 加 ACAO * 变成 403。dev README 写明 AdkWebServer.start() 不设 server.address，此时 Host 检查不开启，只伪造 Host、不带 Origin 的 GET 仍回 200，设 server.address=127.0.0.1 后被拦。
Jackson 3.1.8 和 3.2.4 修复了与 2.x 同一批 CVE，3.2.4 还多一个 CVE-2026-110729，这些编号目前在 cve.org 上都是 RESERVED。Spring Boot 4.1.1 实测：默认的 3.1.5 和 3.1.7 会实例化泛型类型 id 里白名单外的类，3.1.8 会拒绝；升 3.2.4 要同时把 jackson-2-bom.version 改到 2.22.4，否则 jackson-annotations 停在 2.21，反序列化抛 NoSuchMethodError。
async-profiler 4.6 能把 profile 以 OTLP 格式直接 POST 到 HTTP 端点，wall clock 的线程过滤改为按线程名，内置 HTTP 服务器被删掉。在 Spring Boot 4.1.1 应用上接本地接收端实测：默认路径是 /v1development/profiles，不加 -t 时请求体里没有线程名，端点不通时 asprof 退出码为 200。
Jackson 10 月 17 日发布 2.22.4、2.21.8、2.18.12，修复 databind、Avro、CBOR、Protobuf、Smile 的多个 CVE，其中 CVE-2026-110879 让泛型类型 id 里的类型参数也要过 PolymorphicTypeValidator。在 Spring Boot 3.5.16 中实测：2.21.4 和 2.21.7 会实例化白名单外的类，2.21.8 返回 400 并在日志里点名拒绝。
Gunnar Morling 的纯 Java Parquet 库 Hardwood 发布 1.1.0.Beta2：写入端新增 endRowGroup() 手动切 row group，tryWriteRow() 遇到坏记录返回 Rejected 而不中断 writer，S3 读取请求更少，还有 footer 缓存和两项破坏性变更。附 Spring Boot 4.1.1 实测：按月写 3000 行，跳过 7 条坏记录，得到 3 个 row group。
用官方 tar 包起 Pulsar 5.0.0 standalone，Spring Boot 4.1.1 默认带的 4.2.4 客户端直接能收发。换成 5.0 客户端时只改版本号会先后撞上 slog 和 shade 两个报错，改用 pulsar-client-v5-all，再排除 pulsar-client-all 和 log4j-to-slf4j 两个包后跑通。
Lettuce 8.0.0.BETA1 让 Project Reactor 变成可排除的依赖。只用同步和异步 API 的项目可以去掉 reactor-core。实测在 Spring Boot 4.1.1 里排除后读写和事件回调正常，调 reactive() 会报 NoClassDefFoundError。
Keycloak 26.8.1（2026-10-13）是安全补丁版，Security fixes 共 22 条，其中 19 条带 CVE 号，涉及细粒度管理权限、2FA、OIDC/SAML 身份代理和 Token Exchange。本机用 Spring Boot 4.0.6 资源服务器对接 26.8.1 验证了 JWT 校验链路。
Selenium 4.51 的 Java 绑定里，ExpectedCondition 不再实现 Guava 的 Function 接口，把它当 Guava Function 用的代码会编译失败。实测 4.51.0 仍会通过 selenium-remote-driver 传递引入 Guava 33.7.2-jre。
Netty 于 2026-10-06 同步发布 4.2.19.Final 与 4.1.139.Final，分别列出十六项与十三项安全修复，覆盖请求走私、SNI 路由绕过、协议资源耗尽与 OCSP 校验竞态等问题。官方称因 CVE 基础设施压力过大，这批公告暂无 CVE 编号，依赖扫描器可能漏报；请按所在版本线升级，并用属性覆盖 Boot 默认管理版本。
