## :warning: 需要注意 - 从 Spring Framework（一种 Java 企业级框架）7.1 开始，`ForwardedHeaderFilter`（属于 Spring MVC [Spring 的 Web MVC 框架]的过滤器）和 `ForwardedHeaderTransformer`（属于 WebFlux [Spring 的响应式 Web 框架]的转换器）各自都需要一个 boolean（布尔）参数，以决定是使用标准的“Forwarded” header（HTTP 头）还是“X-Forwarded”替代 header。如有需要，一个单独的属性可启用“X-Forwarded-Prefix”的使用。默认构造函数仍然可用，它会同时检查这两种类型的 header，但已被弃用并标记为移除。新的构造函数使 forwarded header 的处理更具确定性，并且与代理的期望一致。请参阅更新的[安全注意事项](https://docs.spring.io/spring-framework/reference/7.1-SNAPSHOT/web/webmvc/filters.html#filters-forwarded-headers-security)部分，以及 Spring Boot（一种 Java 企业级框架）中的相关更改 https://github.com/spring-projects/spring-boot/issues/51030。 [#37072](https://github.com/spring-projects/spring-framework/issues/37072) - 默认上下文配置不是 d（原文不完整）

## :warning: 请注意 - 在 Spring Framework（Spring 框架）7.0.9 中，`ForwardedHeaderFilter`（Spring MVC（Spring 的 MVC Web 框架））和 `ForwardedHeaderTransformer`（WebFlux（Spring 的响应式 Web 框架））各自提供一个布尔构造函数参数，用于指定是使用标准的 "Forwarded" 头还是 "X-Forwarded" 替代头。另一个独立属性用于启用或禁用 "X-Forwarded-Prefix" 的使用。虽然默认构造函数保留了现有行为，但我们建议使用新的构造函数来显式指定要使用的转发头（forwarded headers），以使处理过程更具确定性，并与代理的预期行为保持一致。详情请参阅更新的 [安全注意事项](https://docs.spring.io/spring-framework/reference/7.0.9-SNAPSHOT/web/webmvc/filters.html#filters-forwarded-headers-security) 章节。在 7.1 中，通过 #37072，默认构造函数已被弃用并标记为待移除。[#37090](https://github.com/spring-projects/spring-framework/issues/37090) - 在 Spring Framework 7.0.9 中，`SimpleEvaluationContext` n

## :warning: 安全修复 此维护版本修复了大量 CVE（Common Vulnerabilities and Exposures，公共漏洞与暴露）。您可以在博客文章 ["Spring and Security In The Times Of AI"](https://spring.io/blog/2026/06/01/spring_and_security_in_the_times_of_ai) 中了解更多信息。以下是全部 16 个 CVE 的完整列表： * [CVE-2026-41838](https://spring.io/security/cve-2026-41838) "Spring Framework（Spring框架）在 WebSocket（一种网络通信协议）模块中的可预测 Session ID（会话标识）" * [CVE-2026-41839](https://spring.io/security/cve-2026-41839) "Spring Framework 通过 WebFlux（响应式Web框架）中的 Session Fixation（会话固定攻击）实现的 Escalation（权限提升）" * [CVE-2026-41840](https://spring.io/security/cve-2026-41840) "Spring Framework 通过 WebFlux 中的 Multipart Requests（多部分请求）导致的 Denial of Service（拒绝服务）" * [CVE-2026-41841](https://spring.io/security/cve-2026-41841) "Spring Framework 通过 Spring MVC（Spring模型-视图-控制器框架）和 WebFlux 中的 Static Resource Cache（静态资源缓存）导致的 Information Disclosure（信息泄露）" * [CVE-2026-41842](https://spring.io/security/cve-2026-41842) "Spring Framework 通过 Spring MVC 和 WebFlux 中的 Versioned Resources（版本化资源）导致的 Denial of Service（拒绝服务）" * [CVE-2026-41843](htt

## :warning: 安全修复 此维护版本修复了大量 CVE（公共漏洞和暴露，Common Vulnerabilities and Exposures）。你可以在这篇博客文章 [“人工智能时代的 Spring 与安全”](https://spring.io/blog/2026/06/01/spring_and_security_in_the_times_of_ai) 中了解更多信息。以下是全部 16 个 CVE 的完整列表： * [CVE-2026-41838](https://spring.io/security/cve-2026-41838) “Spring Framework WebSocket 模块中的可预测 Session ID（会话 ID）” * [CVE-2026-41839](https://spring.io/security/cve-2026-41839) “Spring Framework WebFlux 中通过会话固定（Session Fixation）实现的权限提升” * [CVE-2026-41840](https://spring.io/security/cve-2026-41840) “Spring Framework WebFlux 中通过 Multipart 请求引发的拒绝服务” * [CVE-2026-41841](https://spring.io/security/cve-2026-41841) “Spring Framework Spring MVC 和 WebFlux 中通过静态资源缓存造成的信息泄露” * [CVE-2026-41842](https://spring.io/security/cve-2026-41842) “Spring Framework Spring MVC 和 WebFlux 中通过版本化资源引发的拒绝服务” * [CVE-2026-41843](htt

## :star: 新特性 - 提升 `SpringValidatorAdapter` 和 `MethodValidationAdapter` 的性能 [#36624](https://github.com/spring-projects/spring-framework/issues/36624) - 为 7.0 中已删除的内容补充缺失的 `@Deprecated`(forRemoval = true) 注解 [#36591](https://github.com/spring-projects/spring-framework/issues/36591) - 弃用 `CacheAspectSupport` 中的 `methodIdentification()`，计划后续移除 [#36576](https://github.com/spring-projects/spring-framework/issues/36576) - 改进 multipart 编解码器中的错误处理 [#36564](https://github.com/spring-projects/spring-framework/issues/36564) - `LazyConnectionDataSourceProxy` 与 Hibernate 基于 schema 策略的多租户功能配合不佳 [#36529](https://github.com/spring-projects/spring-framework/issues/36529) - MySQL 错误 149（Galera/WSREP 冲突）在 Spring JDBC/ORM 中未被转换为 `ConcurrencyFailureException` [#36510](https://github.com/spring-projects/spring-framework/issues/36510) ## :lady_beetle: 缺陷修复 - 处理 Kotlin n