Eclipse Temurin 17.0.5 发行注记

红帽在其产品中支持所选的 Eclipse Temurin 主版本。为实现一致性，这些版本与 Oracle JDK 版本类似，而 Oracle 指定了长期支持(LTS)。

从该版本首次引入后，Eclip Temurin 的主版本将最少提供六年的支持。如需更多信息，请参阅 Eclipse Temurin 生命周期和支持政策。

Eclipse Temurin 不包含来自 OpenJDK 上游发行版的结构更改。

有关 Eclipse Temurin 的最新 OpenJDK 17 发行版本中包含的更改和安全修复的列表，请参阅 OpenJDK 17.0.5 发行版本。

新功能及功能增强

查看以下发行注记以了解 Eclipse Temurin 17.0.5 发行版本中包含的新功能和功能增强：

禁用 cpu.shares 参数

在 OpenJDK 17.0.5 发布前，OpenJDK 使用了 cpu.shares 参数的错误解释，它属于 Linux 控制组，也称为 cgroups。参数可能会导致 Java 虚拟机(JVM)使用比可用的 CPU 少，这可能会在容器内运行时影响 JVM 的 CPU 资源和性能。

OpenJDK 17.0.5 发行版本将 JVM 配置为在决定线程池的线程数量时不再使用 cpu.shares 参数。如果要恢复此配置，请在 JVM 启动时传递 -XX:+UseContainerCpuShares 参数。

请参阅 JDK-8281181 (JDK Bug System)。

SHA-1 Signed JARs

在 OpenJDK 17.0.5 发行版本中，使用 SHA-1 算法签名的 JAR 默认受到限制，并被视为未签名。这些限制适用于以下算法：

另外，限制适用于签名的 Java Cryptography 扩展(JCE)供应商。

要降低之前时间戳的 JAR 的兼容性风险，限制不适用于 2019 年 1 月 01 日前使用 SHA-1 算法签名的任何 JAR 和时间戳。在以后的 OpenJDK 发行版本中可能会删除此例外。

要确定您的 JAR 文件是否受到限制的影响，您可以在 CLI 中发出以下命令：

jarsigner -verify -verbose -certs

$ jarsigner -verify -verbose -certs

在上一命令的输出中，搜索 SHA1 实例、SHA-1 或 禁用。此外，搜索指示 JAR 将被视为未签名的警告消息。例如：

Signed by "CN="Signer""
Digest algorithm: SHA-1 (disabled)
Signature algorithm: SHA1withRSA (disabled), 2048-bit key

WARNING: The jar will be treated as unsigned, because it is signed with a weak algorithm that is now disabled by the security property:

jdk.jar.disabledAlgorithms=MD2, MD5, RSA keySize < 1024, DSA keySize < 1024, SHA1 denyAfter 2019-01-01

Signed by "CN="Signer""
Digest algorithm: SHA-1 (disabled)
Signature algorithm: SHA1withRSA (disabled), 2048-bit key

WARNING: The jar will be treated as unsigned, because it is signed with a weak algorithm that is now disabled by the security property:

jdk.jar.disabledAlgorithms=MD2, MD5, RSA keySize < 1024, DSA keySize < 1024, SHA1 denyAfter 2019-01-01

考虑使用更强大的算法替换或重新签名受新限制影响的任何 JAR。

如果您的 JAR 文件受这个限制的影响，您可以删除算法并使用更强大的算法（如 SHA-256 ）重新签署该文件。如果要删除 OpenJDK 17.0.5 的 SHA-1 签名 JAR 限制，并且接受安全风险，您可以完成以下操作：

请参阅 JDK-8269039 (JDK Bug System)。

SunMSCAPI 供应商支持新的 Microsoft Windows 密钥存储类型

SunMSCAPI 供应商支持以下 Microsoft Windows 密钥存储类型，您必须将本地命名空间附加到 Windows- ：

通过指定这些类型，您可以为 Microsoft Windows 密钥存储提供对本地计算机位置的访问。因此，为存储在本地系统上的证书提供密钥存储访问。

请参阅 JDK-6782021 (JDK Bug System)。

控制 HTTPURLConnection的 keep-alive 行为的系统属性

OpenJDK 17.0.5 发行版本包括以下新系统属性，可用于控制 HTTPURLConnection 的 keep-alive 行为：

在 OpenJDK 17.0.5 发行版本前，带有未指定 keep-alive 时间的服务器或代理可能会导致闲置连接在硬编码的默认值定义的周期内保持打开。

使用 OpenJDK 17.0.5，您可以使用系统属性更改 keep-alive 时间的默认值。keep-alive 属性通过更改服务器或代理的 HTTP keep-alive 时间来控制此行为，以便 OpenJDK 的 HTTP 协议处理程序在指定秒数后关闭闲置连接。

在 OpenJDK 17.0.5 发布前，以下用例会导致 HTTPURLConnection 的特定 keep-alive 行为：

OpenJDK 17.0.5 发行版本维护前面描述的行为，但您现在可以使用 http.keepAlive.time.server 和 http.keepAlive.time. time.proxy 属性在第二个和第三个列出的用例中指定超时，而不必依赖默认设置。

请参阅 JDK-8278067 (JDK Bug System)。

更新于 2024-05-04