Spring Security 7.1.0-M1 发布

Spring Security 7.1.0-M1 最近正式露面了。这次迭代不算翻天覆地，但几个关键改进值得关注——尤其是对编码契约的收紧，以及对构建链路的现代化调整。

先看新增的几个点。最直接的变化是 PasswordEncoder#encode 方法被赋予了明确的空值契约（#18334）。这听起来有点技术性，但实际意义在于：从此你调用 encode 时，入参或返回值若为 null，编译器层面就能提前感知到，而不是等到运行时炸锅。另外，OneTimeTokenAuthenticationToken 现在有了 Jackson Mixin 支持（#18096），意味着做序列化处理时省去不少自定义配置的工作量。

文档层面的清理也在同步进行。授权相关文档中那些已废弃的“check”表述被替换掉了（#18471），同时 spring-security-oauth2-client 和 spring-security-oauth2-core 模块里的 Ja vadoc 警告与编译警告也一并清除（#18483、#18482）。

构建环境也往前推了一步：升级至 JDK 25，但字节码目标仍保持在 Ja va 17，兼容性上不必担心（#18512）。还有一个细微但重要的调整——改用 DefaultParameterNameDiscoverer#getSharedInstance() 替代原有的实例化方式（#18484），这在多线程环境下能减少不必要的对象创建。

Bug 修复方面，几个小问题被堵住了：补充了缺失的 @NullMarked 注解（#18514），让空值安全性更加完整；修正了 OAuth2AuthorizationRequestRedirectFilter 构造函数的单元测试逻辑（#18507）；清理了文档中重复出现的 use-authorization-manager 配置说明（#18478）；同时修复了集合与数组类型在空值处理上的潜在异常（#18511）。

依赖版本也按惯例滚动升级：logback-classic 从 1.5.24 到 1.5.25，reactor-bom 到 2025.0.2，spring-framework-bom 到 7.0.3，spring-data-bom 到 2025.1.2，另外 JaCoCo 更新到 0.8.14，Gradle 到 9.2.1，Kotlin 到 2.3.0。这些升级多数是常规跟进，但 Spring Framework 从快照版本走向正式 7.0.3，意味着下游依赖更稳定了。

整体来看，7.1.0-M1 属于一次打磨性质的里程碑版本，对空值安全性的强化是最大亮点，项目团队也在持续清理技术债和推进构建现代化。如果你正在使用 Spring Security 7 系，这次 Milestone 值得拉下来测一测。