本文介绍如何使用Spring AI Alibaba构建基于图结构的智能体工作流。文章首先讲解图工作流的三大核心概念：状态、节点与边，随后通过一个“借口升级”示例演示具体实现，包括使用KeyStrategyFactory定义状态键及其更新策略，实现两个由大模型驱动的节点（员工编造借口、经理评估可信度），以及依据可信度评分和尝试次数决定循环或结束的条件边。最后将各组件组装成StateGraph并编译，通过REST接口调用，展示工作流如何在运行时动态选择执行路径。

文章指出，WordPress虽然让建站变得极为简单，如今承载全网43%的网站，但安全问题日益严重：每天约1.3万个WordPress网站被入侵，2025/26年共发现1.1万个插件漏洞，同比增加42%，关键漏洞的利用时间仅需5小时。WordPress核心本身相对安全，风险主要来自插件——不更新会因漏洞被攻破，更新又可能遭遇供应链攻击。此外其生态正经历治理危机，且依赖持续运行的服务器和数据库，页面每次请求都要渲染，速度慢。作者主张转向静态站点生成器：插件仅在构建时运行，不产生生产环境服务端代码，内容存于Git由GitHub等平台保障安全与版本管理，还可通过GitHub Pages免费发布。评论、表单、支付、搜索、认证等动态需求可借助Giscus、Formspree、Stripe、Auth0等外部服务实现。作者推荐自己开发的、基于Quarkus的Java静态站点生成器Roq，并提供从WordPress迁移的分步指南。

本期Java周刊聚焦Spring AI的模块化RAG管道与TypeSafe Jev技术：前者可将问题改写扩展为定向搜索并检索拼合相关片段，后者负责过滤与重排结果以提炼答案证据，同时检测检索文本中的提示注入风险。JDK 28方面，Arena.ofConfined()性能得到进一步优化，PEM加密对象编码与简易JSON API两项JEP进入目标列表。其他文章还介绍了仅用JDK与规范在Jakarta EE 11应用中实现RAG、借助TeaVM在浏览器运行Java、直接基于Maven构建的Java语言服务器，以及团队使用AI编码代理的协作约定等话题。本周推荐阅读《单元测试更多是标记领地而非消灭缺陷》。版本升级涵盖Maven 3.10.0、Hibernate 8.0.0.Beta3、Jetty 12.1.14、Elasticsearch 9.5.5、Grails 8.0.0、Micronaut Core、Vert.x、Apache Camel，以及支持KMP开发的Kotlin工具链0.13。

JetBrains Marketplace 现已向插件作者开放与该插件相关的 UI 冻结报告。作者可在插件管理页面的 Freezes 标签中查看，报告按错误类型归并成同类问题堆栈，并展示代表性样本，便于快速识别反复出现的模式。每份报告包含自动生成的线程转储摘录、冻结期间每五秒采集的完整转储 dump-N.txt，以及视情况附带的 CPU 快照 snapshot.jfr、堆栈分析 report.txt 和性能指标 open-telemetry-metrics.csv。排查时建议先定位事件分发线程 EDT，判断其是在执行耗时操作还是在等待其他任务，再用 IDE 的 Analyze Stack Trace or Thread Dump 分析完整转储；也可借助 analyze-freeze 技能，让 AI 编码代理结合协程行为、默认调度器饥饿等常见模式进行追踪。使用该功能需在 plugin.xml 中注册 Marketplace 错误处理扩展，该扩展自 IntelliJ Platform 2023.3 起可用，且无需自定义实现。作者应先核实报告对应的插件版本等证据，再针对阻塞 UI 的操作做最小化修复，并用新的诊断数据验证。

Codename One 发布实验性原生 Java 后端，将其移动端运行时 ParparVM 带到服务器端，支持将 Java 控制器编译为原生可执行文件，并兼容 SQLite、PostgreSQL、MySQL 和 MariaDB。团队希望解决 Java 微服务和 Serverless 场景中体积大、启动慢的问题，同时实现 App 与后端共享实体类、校验规则和 REST 契约。基准测试显示，静态 musl 构建的 Codename One 原生服务器在双核 64 连接下达到约 59.5 万请求/秒，高于 Go fasthttp 的约 49.6 万；二进制约 7.95 MB，负载内存 10 至 40 MB。Hello World 原生可执行文件仅 392 KB，中位启动 3.40 ms。该版本还介绍 Vault 加密存储、邀请归因、Xcode 27 适配、桌面原生主题和 ParparVM 自举等更新。

Ortus Solutions宣布cbGenesis 1.0正式发布，这是首个从设计之初就面向AI编码代理协作打造的BoxLang生产级ColdBox HMVC启动模板。它内置会话式身份验证、邮箱验证与密码重置、OAuth多提供商与WebAuthn通行密钥、基于resource:action的RBAC权限模型、默认拒绝的CSRF防护、个人API令牌与JWT、登录限流与安全响应头、可搜索导出的审计日志，以及完整的后台管理面板。数据处理采用BoxLang ORM与qb迁移，前端基于服务端渲染视图加Alpine.js组件、Bootstrap 5、暗色模式和Vite热更新，并提供CBFS多提供商文件存储、cbmailservices邮件模板、TestBox单元与集成测试，以及Docker Compose部署方案。开发者只需一条命令即可创建项目。为支持AI协作，仓库根目录提供AGENTS.md，配合90多个框架技能、六个cbGenesis专属技能和实时MCP文档服务。官方实测显示，技能辅助下AI代理完成新增CRUD资源的令牌消耗减少12%、工具调用减少42%、耗时缩短34%。该项目由Loeb Electric与Gary Knight赞助，以Apache 2.0协议开源。

本文是一份实用指南，介绍如何在Claude Code中创建、验证、测试和安装Agent Skills。Skill本质上是包含SKILL.md的文件夹，代理通过名称和描述按需渐进式加载，必要时再读取references、scripts和assets。创建时建议先在不使用Skill的情况下完成真实任务并记录失败基线，再让代理提取可复用流程写入SKILL.md，可借助skill-creator或superpowers:writing-skills。检查分三类：结构是否合法（skills-ref validate或claude plugin validate）、触发时机是否准确、结果是否较基线有改善（claude plugin eval）。/skill-doctor可识别占用上下文却很少使用的Skill。安装可手动放入.claude/skills目录，或用npx skills add；若需打包分发、版本管理和测试套件，应做成Plugin并接入Marketplace。安装第三方Skill前须检查SKILL.md、脚本、allowed-tools、Hooks与权限。核心误区是只验证文件语法而不检验实际行为。

JetBrains发布Mellum2.1，这是其6月开源12B混合专家模型的最新版本，仍为2.5B激活参数、Apache 2.0许可，架构未变，但几乎全部改进来自后训练。该模型在真实环境中进行大规模强化学习，可在代码库中探索、编辑文件并检查更改。相比Mellum2，它在代理式编程、代码、竞赛编程、数学、工具调用和通用知识等基准上全面提升，并在高压负载下成为同组最快模型，单请求因多令牌预测约快1.6倍。模型支持本地或自有基础设施私有部署，适合作为编码代理和快速子代理，已上线Hugging Face，GGUF等格式即将推出。

本文改编自Kai Schmithuesen在JetBrains游戏开发日2026的演讲，讨论代码质量定义及其对业务的影响。代码质量涵盖正确性、性能、稳定性、安全性、可维护性和可复用性。糟糕代码可能导致游戏价值下跌、加载缓慢、安全漏洞和玩家流失。AI辅助编程能加速原型与开发，但也会快速生成大量代码，并在逻辑错误、可维护性和安全性方面带来风险，例如逻辑错误比人工代码多1.7倍。静态分析具有确定性、快速、低成本且可追溯，能覆盖多类质量问题；将静态分析与AI结合，可减少72%至92%的token消耗，并最多减少33%的漏洞。Qodana可自动修复问题、结合基线管理，并与IDE和CI流程集成，帮助团队在AI时代保障代码质量。