Eurynome Cloud 2.7.0.10 发布，修复 Fastjson 反序列化代码执行漏洞-低调大师

Eurynome Cloud 2.7.0.10 发布，修复 Fastjson 反序列化代码执行漏洞

2022-05-25 569

Eurynome Cloud 是一款企业级微服务架构和服务能力开发平台。首个全面拥抱 Spring Authorization Server 的版本，基于Spring Boot 2.7.7、Spring Cloud 2021.0.2、Spring Cloud Alibaba 2021.0.1.0、 Spring Authorization Server 0.2.3、Nacos 2.1.0 等最新版本开发，遵循SpringBoot编程思想，高度模块化和可配置化。具备服务发现、配置、熔断、限流、降级、监控、多级缓存、分布式事务、工作流等功能

平台定位

构建成熟的、完善的、全面的，基于 OAuth2 的、前后端分离的微服务架构解决方案。
面向企业级应用和互联网应用设计开发，既兼顾传统项目的微服务化，又满足互联网应用开发建设、快速迭代的使用需求。
平台架构使用微服务领域及周边相关的各类新兴技术或主流技术进行建设，是帮助快速跨越架构技术选型、研究探索阶段的利器。
代码简洁规范、结构合理清晰，是新技术开发应用的典型的、综合性案例，助力开发人员对新兴技术的学习和掌握。

[1]、发布背景

2021年11月8日 Spring 官方已经强烈建议使用 Spring Authorization Server 替换已经过时的 Spring Security OAuth2.0。

在 Spring Security OAuth2 彻底停止维护、Spring Boot 2.7.0 正式发布之时，又恰逢 Eurynome Cloud 开源一周年之际，推出基于 Spring Authorization Server 0.2.3、Spring Boot 2.7.0、Spring Cloud 2021.0.2、Spring Cloud Alibaba 2021.0.1.0 和 Nacos 2.1.0 的全新正式版本。该版本基于 Spring Authorization Server 0.2.3 和 Spring Boot 2.7.0 全新定制开发，细节满满，欢迎品鉴。

[2]、本次更新内容

主要更新
- Fastjson 版本升级至 1.2.83。消除 Fastjson 反序列化任意代码执行漏洞。
- 使用 Jackson 全面替换工程中涉及的 Fastjson 代码。保留工程 Fastjson 依赖，用于统一控制其它第三方依赖包中依赖的 Fastjson 版本。
其它更新
- 合并原有 assistant-sdk-json 包至 assistant-core。新增 Gson 通用工具类。
- 重构缓存相关模块，将 redis 和 caffeine 模块独立出来。使用标准化方式重新配置 redis，解决早期在 jar 包模式下，自定义 Redis 配置不生效问题
- 使用 Spring Boot 2.7.0 新的自动配置注册文件，调整部分 starter 自动注入配置文件
- 增加基于 Redis 的 Spring Cloud Session 共享基础配置。同时支持 Servlet 和 Webflux
- 去除重复定义的 JPA 实体自定义 KEY Generator 名称
依赖更新
- Redisson 版本升级 3.17.2
- Logstash Logback Encoder 版本升级至 7.2
- WxJava 版本升级至 4.3.4.B
- MyBatis 版本升级至 3.5.10
- Tencentcloud-sdk-java 版本升级 3.1.514
- Qiniu-java-sdk 版本升级至 7.10.3
- Alipay-sdk-java 版本升级至 4.23.26.ALL
- com.baidu.aip 版本升级至 4.16.8

【3】、Eurynome Cloud 2.7.X 主要变化

基于 Spring Authorization Server 深度定制:
- 基于 Spring Data JPA，重新构建 Spring Authorization Server 基础数据存储代码，替代原有 JDBC 数据访问方式，破除 Spring Authorization Server 原有数据存储局限，扩展为更符合实际应用的方式和设计。
- 基于 Spring Authorization Server，在 OAuth 2.1 规范基础之上，增加自定义“密码”认证模式，以兼容现有基于 OAuth 2 规范的、前后端分离的应用。
- 基于 Spring Authorization Server，在 OAuth 2.1 规范基础之上，增加自定义Social Credentials 认证模式，支持手机短信验证码、微信小程序、第三方应用登录。
- 遵照 Spring Security 5 以及 Spring Authorization Server 的代码规范，进行 OAuth2 认证服务器核心代码的开发，遵照其使用 Jackson 反序列化的方式，增加大量自定义 Jackson Module。
- 支持 Spring Authorization Server 的标准的Token加密校验方式外，还了增加支持自定义证书的 Token 加密方式，可通过配置动态修改
- 支持 OAuth2 OIDC 认证模式，补充前端 OIDC 认证相关配置操作，以及对应的 /userinfo 接口调用支持和客户端注册支持
- 支持 OAuth2 Authorization Code PKCE 认证模式
- 扩展 Spring Authorization Server 默认的 Client Credentials 模式，实现 Refresh Token 的创建。
- 扩展 Spring Authorization Server 默认的 Client Credentials 模式，实现真正的使用 Scope 权限对接口进行验证。增加客户端 Scope 的权限配置功能，并与已有的用户权限体系解耦
- 自定义 Spring Authorization Server 授权码模式登录认证页面和授权确认页面，授权码模式登录采用数据加密传输。支持多种验证码类型，暂不支持行为验证码。
代码结构的大规模调整和优化：
- 对原有代码进行了深度的“庖丁解牛”，严格遵照“单一职责”原则，根据各个组件的职责以及用途，将整个工程拆解细化为多个各自独立组件模块，在最大程度上降低代码间的耦合，也更容易聚焦和定位问题。
- 将通用化组件提取为独立工程，独立编译、按需选用，极大的降低系统主工程代码量。相关组件也已上传至 Maven 中央仓库，降低系统主工程工程代码编译耗时，改进和提升 CICD 效率，
- 原有主工程代码结构也进行了深化调整，代码分包更加合理，代码逻辑也更加清晰。

【4】、额外说明

本项目以后将主要维护 Spring Authorization Server 版本，原有基于 Spring Security OAuth2 的版本已经移至 spring-security-oauth2 分支，可以从该分支或发行版页面获取历史版本继续使用。后期会根据 ISSUE 以及使用用户反馈情况，再行决定是否继续维护 Spring Security OAuth2 版本。
最新版本代码，暂时继续沿用原有基于 Vue2、Vuetify2、Typescript开发的前端系统。基于 Vue3、Vite2、Vuetify3、Pinia 等新版前端正在加进开发中，由于 Vuetify3 版本发布跳票以及部分已有组件的缺失，导致新版前端开发延后。
原有基于 Vue2、Vuetify2、Typescript 开发的前端，由于使用了过渡性 Typescript IOC 组件，以及依赖组件版本限制等问题，初次接触该项目在编译过程中会出现一些问题，请移步至本项目在线文档，详见“常见问题”章节。

微信关注我们

原文链接：https://www.oschina.net/news/197348/eurynome-cloud-2-7-0-10-released

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

🚀Archttp 1.0.1 增强优化，性能好，上手快！D 语言 Web 服务框架

Archttp 是一个性能极高的 D语言 Web 服务框架，拥有 Golang Gin 的性能，拥有 ExpressJS 的易用性。Archttp 1.0.0 发布以后收到了一些测试反馈，根据反馈修复一系列问题，感谢反馈的小伙伴；）主要更新：增强路由配置兼容 Restful，不同 HttpMethod 绑定指定回调增加中文和英文文档【查看中文文档】修复使用中遇到的问题和性能优化示例代码 import archttp; void main() { auto app = new Archttp; app.get("/", (request, response) { response.send("Hello, World!"); }); app.post("/", (request, response) { import std.json; response.send( JSONValue( ["message" : "Hello, World!"] ) ); }); app.listen(8080); } 文档地址 https:...

2022-05-26

497

NumPy 1.22.4 现已发布，这是一个维护版本，修复了在 1.22.3 版本之后发现的错误。此外，此版本的 wheels是使用最近发布的 Cython 0.29.30 构建的，它应该可以修复报告的调试问题。此版本支持的 Python 版本为 3.8-3.10。Mac wheels现在基于 OS X 10.15，而不是以前 NumPy 发布周期中使用的 10.6。此版本共合并了 22 个拉取请求： #21192：TST：将 mypy 从 0.931 升级到 0.940 #21243：MAINT：明确地重新导出 numpy._typing 中的类型 #21245：MAINT：为 CI doc 构建指定 sphinx、numpydoc 版本 #21275：BUG：修复错别字 #21277：ENH，BLD：修复 wasm 的数学特征检测 #21350：MAINT：修复失败的 simd 和 cygwin 测试 #21438：MAINT：修复失败的 Python 3.8 32 位 Windows 测试 #21445：BUG：允许旧 dtypes 再次转换为 datetime #21446...

2022-05-26

877

资源下载

更多资源

优质分享App

近一个月的开发和优化，本站点的第一个app全新上线。该app采用极致压缩，本体才4.36MB。系统里面做了大量数据访问、缓存优化。方便用户在手机上查看文章。后续会推出HarmonyOS的适配版本。

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

腾讯云软件源

为解决软件依赖安装时官方源访问速度慢的问题，腾讯云为一些软件搭建了缓存服务。您可以通过使用腾讯云软件源站来提升依赖包的安装速度。为了方便用户自由搭建服务架构，目前腾讯云软件源站支持公网访问和内网访问。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。