为应对现代挑战发布 Spring

简而言之：Spring 发布列车已从为期两周的发布列车改为单日发布，即每月第三个星期一之后的星期四。下一次常规补丁发布列车将在 10 月 22 日进行。仅包含里程碑版本的发布列车将在 9 月 24 日进行。

早在六月，我们曾向大家撰文说明，AI 如何改变了新漏洞被发现和在野利用的速度。这种情况并未放缓。自三月以来，除了我们使用前沿模型进行的内部扫描外，我们平均每月收到近 80 份由社区提供的新安全报告。我们看到新报告涌入的速度短期内没有放缓的迹象。这导致我们在处理收到的安全报告和发出的补丁方面发生了重大转变。

“自三月以来，我们平均每月收到近 80 份由社区提供的新安全报告……（而且）我们看到新报告涌入的速度短期内没有放缓的迹象。”

自那以后，我们一直非常忙碌，而你们也注意到了。在我们正在探索的这个新世界中，我们不得不对 Spring 项目组合的发布方式做出重大投入：将发布列车从两周压缩到一天，大幅改进我们在网站上传达安全公告的方式，并修复 160 多个新 CVE。团队已经很多年没有进行这种级别的内部投入了，我们认为这些更新在今天与框架的新功能同样重要。本文将介绍我们所做的变更，并帮助你了解今后事情将在何时以及如何运作。

发布节奏

过去，我们将发布分散在两周内，Spring 项目组合依赖树中的每一层都在不同日期发布。尽管这种做法多年来一直很好地服务着我们，但在 CVE 会在数小时而非数天内被利用的世界里，它现在显得过时了。以过去两次发布列车为例，旧模式下，每次发布列车的每一天都会发布新的 CVE 修复。

因此，我们彻底重新设计了整个 Spring 项目组合的发布方式，现在将其全部作为一个大型发布列车发布。这使我们能够一次性向你提供 Spring 项目组合中的所有版本和 CVE 修复，可以说是为 Spring 创造了一个“补丁星期四”。在重构发布列车时，我们不想对你们已经习惯的日期做超出必要的改动。因此，我们决定将版本发布到 Maven Central 的日期保留为每月第三个星期一之后的星期四，这个日期也正是我们多年来发布 Spring Boot 的日子。

为了给新发布列车的运作方式做好准备，本月我们将只进行里程碑版本发布，这些版本是为 11 月功能版本所做工作的一部分。我们将在 10 月 22 日开始以新的常规格式进行补丁发布。

网站更新

当你从每月只需发布一两份安全公告，变成一个月发布 91 份时，发布方式就必须改变。我们认识到了这一点，并对 https://spring.io/security 进行了重大改进。我们不再采用那种无法适应我们近期公告数量的滚动博客格式，而是对其进行了重新设计，使其能够按 ID、严重性和项目快速浏览 CVE。这将使任何人都能快速、轻松地获取他们关心的项目所需的信息。

[LOADING...]

今后的方向

在软件如何交付以及由谁交付方面，世界正在迅速变化。二十多年来，始终是同一批人负责 Spring 项目组合的开发与安全。我们很自豪能成为提供你们逐渐依赖并信任的价值与坚定安全性的人。我们将继续演进，以适应不断变化的安全格局，同时推动你们所需的功能与安全。

一如既往，我们期待听到你们的评论和想法！请在下方评论区留下你们的想法，以及我们可以如何改进。