开源精选# 开源
Keycloak 26.8.1 修了 19 个 CVE，Spring Boot 资源服务器不用改代码
Keycloak 26.8.1（2026-10-13）是安全补丁版，Security fixes 共 22 条，其中 19 条带 CVE 号，涉及细粒度管理权限、2FA、OIDC/SAML 身份代理和 Token Exchange。本机用 Spring Boot 4.0.6 资源服务器对接 26.8.1 验证了 JWT 校验链路。
更多值得阅读的内容。
第 16 页 · 持续积累的技术实践
最新文章
持续更新的技术实践Spring Boot 4 换成 Jackson 3 以后，老项目我是这样一步步改过来的
Boot 3 时代的 Jackson 2 代码在 Spring Boot 4.1.1 下实测迁移：包名换成 tools.jackson、ValueSerializer、JsonMapperBuilderCustomizer、rebuild()、JacksonException，spring.jackson 旧配置一个启动失败一个静默失效，以及用 spring-boot-jackson2 暂留 Jackson 2。
Vercel AI Gateway 上架免费试用版 Nemotron 3.5 Lightning，Arm 推出首门 ExecuTorch 课程
Vercel AI Gateway 10 月 14 日上架 Nemotron 3.5 Lightning 免费端点，属试用性质，提示词和输出会被记录，免费层限流；Arm 10 月 13 日推出约八小时的免费 ExecuTorch 端侧推理课程。
同样标 5% + 50¢，19 美元订阅卖给德国用户，Paddle、Lemon Squeezy、Polar 每单手续费差出 0.45 美元
按 2026 年 10 月 14 日的官方定价页，对比 Paddle、Lemon Squeezy、Polar 三家代收平台和自接 Stripe 的费率与附加费，用一个卖给德国客户的 19 美元月订阅算出每单实际成本。
从外包转做后台模板，CodedThemes 七个人自述月收入约 1.2 万美元
印度七人小团队 CodedThemes 2015 年上架第一款自有产品，2016 年彻底放弃外包，2017 年推出第一款买断制后台模板，创始人自述现在月收入约 1.2 万美元。拆它的三渠道定价、GitHub 免费版获客，以及三次差点倒下时各自的应对。
Java# java
Jackson 3 用多参数构造器反序列化，在 Spring Boot 4 里大多不用写注解了
用 Spring Boot 4.1.1 自带的 Jackson 3.1.5 实测多参数构造器反序列化：带 -parameters 时单构造器免注解、record 非规范构造器会被使用；关掉 -parameters 后几乎全部失败、接口返回 500。
Spring Boot 塞进 512M 容器，堆默认只有 128M
512M 的容器里不配 JVM 参数，Spring Boot 的最大堆只有 128M；把 -Xmx 设得比容器上限大，进程会被直接 OOMKilled。用 Spring Boot 4.1.1 和 JDK 21 在 Docker 里把三种情况实测了一遍。
Java# java
结构化并发要在 JDK 28 转正了，我用 Spring Boot 4.1 把它完整跑了一遍
JEP 543 进入 Proposed to Target，结构化并发将在 JDK 28 不做改动直接定稿。用 JDK 28 EA build 19 和 Spring Boot 4.1.1 实测失败取消、超时、Joiner 竞速和 JSON 线程转储。
Spring Boot 4 开虚拟线程，JDK 21 和 25 上 pinning、ThreadLocal、ScopedValue 表现不一样
同一个 Spring Boot 4.1.1 项目在 JDK 21 与 JDK 25 上实测：JEP 491 之后 synchronized 不再钉住载体线程，ThreadLocal 当缓存在虚拟线程下失效，ScopedValue 不会自动穿过普通执行器，连接池成为新的瓶颈。
开源精选# 开源
Selenium 4.51 的 ExpectedCondition 不再实现 Guava Function，老写法会编不过
Selenium 4.51 的 Java 绑定里，ExpectedCondition 不再实现 Guava 的 Function 接口，把它当 Guava Function 用的代码会编译失败。实测 4.51.0 仍会通过 selenium-remote-driver 传递引入 Guava 33.7.2-jre。