Spring 把发版窗口从两周压成一天：AI 找漏洞的速度，快过修复排期

9 月 21 日，Spring 官方博客发了一篇标题很克制的公告——《Releasing Spring for Modern Challenges》，作者 Michael Minella。内容一点都不克制：Spring 整个产品组合的发版方式被改掉了。

原来是一个两周长的发版窗口，各项目错开日子发。现在压成一天：每个月第三个周一之后的那个周四，所有项目一起发。官方给这一天起了个名字，叫"Patch Thursday"。第一次按新规则跑是 10 月 22 日；9 月 24 日那一轮只发里程碑版本，不修问题。

对靠 Spring 吃饭的人来说，这条内部规则的改动，比任何一个新特性都更值得看一眼。

单月 91 份安全公告

改规则的直接原因写在公告里：安全公告的量。

官方说，从今年 3 月到现在，平均每个月收到接近 80 份来自社区的安全报告；近期修掉的新 CVE 超过 160 个；而在某一个月里，他们发布了 91 份安全公告。

已经发出去的公告数，比"报告在增加"更有冲击力。安全公告历来按季度、按项目零散发，一个团队一年跟踪十几个 CVE 就算勤快。现在它变成了月度批发。

旧规则为什么撑不住，官方写得很直白：在过去两趟发版里，按老节奏，每一趟的每一天都在发 CVE 修复。这意味着一个同时用 Spring Framework、Spring Security 和 Spring Boot 的项目，要在两周里分批接收修复，顺序还不能错——因为你不知道后一个修复会不会依赖前一个。新的做法是一次发完，升级一次就够了。

漏洞发现正在变成一件批量的事

官方对这件事的归因，值得单独拎出来看。他们写道：在一个 CVE 从被发现到被利用只需要几小时、而不是几天的环境里，错开发版已经显得过时。这不是公关话术——6 月他们就写过一篇文章，专门讲 AI 如何改变了漏洞被发现、被利用的速度。

Veracode 2026 年春季那份 GenAI Code Security Update，用 150 多个模型跑了 80 个编码任务（Java、JS、C#、Python），结论是 45% 的生成代码带有已知安全漏洞；而同一批代码里，95% 以上能正常编译运行。能跑、和有漏洞，同时成立——这才是要命的地方。它意味着"编译通过、测试通过"这套用惯了的信号，覆盖不了新增出来的风险面。

Azul 2026 年的调查里，56% 的团队每周都在处理 CVE；Sonar 2026 年那版 State of Code 调查（1149 名开发者）里，96% 的人不完全信任 AI 生成的代码，但只有 48% 会做到提交前始终检查。

发现端在被 AI 加速，修复端也在被 AI 加速，中间那一环——审查——没有跟着快起来。

审查卡在什么位置

Sonar 那份调查里还有个数字：验证工作约占开发者 35% 的工作时间，在 AI 大量参与之后，这个比例没有下降。

原因不难理解。当代码是批量产出的，审查要回答的问题就变了。不再是"这行写得对不对"，而是"它和另一层的假设是不是一回事"。

举个很平常的例子：后端接口约定的分页参数是 pageNum，前端写成了 page。两份代码都能跑，单元测试可能都是绿的，问题要到联调那天才暴露。改的不是一行，是一条链。

这类问题的数量与产出速度正相关：写得越快，需要对上的假设越多，而假设没法靠多看几眼审出来，它得有出处。

可审查的前提，是产物先落在工程里

上面那类跨层不一致，难就难在它不是"谁写错了"，而是两处各自都写对了，只是依据不一样。

在飞算JavaAI 的智能会话里，有一组按环节走的指令：/需求分析 把原始需求解析成需求文档与业务设计文档，遇到模糊边界会先向你提问澄清；/前后端设计 在这份上游文档的基础上产出数据库设计、API 接口设计、技术栈决策、技术需求覆盖等一组文档，前端页面也不是凭空生成的，而是依据 API 设计文档做出来的页面设计；/后端开发 则严格按已经定下来的接口规范写实现。这些文档不留在对话里，而是落到当前项目的 docs 目录，前端工程落在项目的 frontend 目录。

因果就在这里：跨层不一致的根源，是"依据"没有落到项目里。契约写在文档里、跟着仓库走，审查的人才有了对照物——他看的不是两份代码像不像，而是两份代码是不是照同一份契约写的。pageNum 和 page 这种问题，会在设计阶段就撞上，而不是等到联调。

边界也说清楚：它管不了需求本身是不是错的，也不替你做安全扫描和兼容性验证。产物落盘解决的是"审查缺依据"，不是"审查可以省掉"。

一个月度升级节奏怎么排

公告里最实用的一句，是把新节奏比作操作系统的补丁日。日期一旦固定，升级就能从"随时可能被构建失败打断"变成一件可以排期的事。

第一，把升级写进迭代排期，每月腾出半天。Patch Thursday 是每月第三个周一之后的周四，前后一两天都是合适的时间窗——早一点能看到别人的反馈，晚一点能避开刚发布时的生态适配问题。

第二，只盯自己实际用到的模块。这次一并改版，可以按 CVE 编号、严重度和项目筛选。一个只用了 Boot、Security、Data 的项目，不需要把每一条公告都读完。

第三，别把修复攒着。官方已经给出依据：CVE 的利用窗口是小时级。攒一个季度，等于把小时级的问题拖成季度级的风险，而且跨度越大，要改的地方越多。

第四，把支持周期当成排期依据。Spring 每条版本线的开源支持都有明确截止日，把它写进项目日历，就不会出现"想起来要升的时候发现已经过期半年"的情况。

还有一件容易被忘的事：Spring Boot 3.5 的开源支持已经在 2026-06-30 到期。如果项目还停在 3.5 之前，现在面对的其实不是"要不要升级"，而是"哪些修复你收不到了"。

修复窗口收窄之后，判断标准也变了

顺着这四条往下想，会碰到一个更根本的变化。

过去判断"要不要升级"，看的是版本新旧和改动量——影响面小就先放放，等下个季度一起做。现在这套判断的依据松动了，因为真正在变的是暴露时长：漏洞从公开到被利用以小时计，而你的修复要等下个排期窗口，中间那段就是敞口。

所以判断标准该换一个问法：不是"这个版本值不值得升"，而是"从今天到升级那天，我承担的是什么"。

对一个人扛前后端的场景，这个问题更尖锐：你没有第二个人帮你分担升级和验证的工作量，能做的就是让每次升级的可评估范围足够小——这也是为什么月度节奏比季度节奏更好执行。

写在最后

Spring 这次改的是一条内部规则，但它反映的是行业的位移：AI 把代码产量推上去，安全债和审查债跟着一起上去。发版节奏可以改，人手上的活没法凭空变多。

官方能把两周压成一天，靠的是把排期里的协调成本消掉。团队这边真正要消的，是自己项目里"依据不在项目里"这件事。

你们团队的依赖升级和 CVE 修复，是有人按月盯着，还是等构建失败才动？