第 2 章 Eclipse Temurin 功能

Eclipse Temurin 不包含来自 OpenJDK 上游发行版的结构性更改。

新功能及功能增强

Eclipse Temurin 21.0.5 包括以下新功能和增强：

2024 年 11 月 11 日和由 Entrust root CA 发布的 TLS 服务器证书的不信任

根据 Google 和 Mozilla 最近宣布的类似计划，OpenJDK 21.0.5 信任于 2024 年 11 月 11 日和被 Entrust root 证书颁发机构(CA)发布的 TLS 证书。这个行为的变化包括任何品牌为 AffirmTrust 的证书，这些证书由 Entrust 管理。

OpenJDK 将继续信任 2024 年 11 月 11 日或之前发布的证书，直到这些证书过期。

如果服务器的证书链由受影响的证书决定，则任何尝试协商 TLS 会话现在都会失败，但表明信任锚不被信任。例如：

TLS server certificate issued after 2024-11-11 and anchored by a distrusted legacy Entrust root CA: CN=Entrust.net CertificationAuthority (2048), OU=(c) 1999 Entrust.net Limited,OU=www.entrust.net/CPS_2048 incorp. by ref. (limits liab.),O=Entrust.net

您可以使用以下 keytool 命令检查此更改是否影响 JDK 密钥存储中的证书：

keytool -v -list -alias <your_server_alias> -keystore <your_keystore_filename>

如果此更改会影响链中的任何证书，请更新此证书或联系负责管理证书的机构。

如果要继续使用 Entrust root 证书选择的 TLS 服务器证书，您可以通过修改 java.security. properties 系统属性或从 jdk.security.caDistrustPolicies 安全属性中删除 ENTRUST_TLS。

这些限制适用于 OpenJDK 的以下 Entrust root 证书：

请参阅 JDK-8337664 (JDK Bug System) 和 JDK-8341059 (JDK Bug System)。

KEM.getInstance （） 方法检查第三方安全供应商是否已签名

JDK 的加密框架通过确定供应商的代码库和验证供应商的签名来验证第三方安全供应商实施。

在早期版本中，JDK 不会验证密钥封装机制(KEM)实现。

OpenJDK 21.0.5 以与其他 JDK 服务类型（如 Cipher 和 Mac 供应商）一致的方式验证 KEM 实现。

请参阅 JDK-8322971 (JDK Bug System)。

减少详细区域设置输出 in -XshowSettings launcher 选项

在早期版本中，-XshowSettings launcher 选项打印了可用区域设置的长列表，这会模糊处理其他设置。

在 OpenJDK 21.0.5 中，-XshowSettings launcher 选项默认不再打印可用区域的列表。如果要查看与可用区域设置相关的所有设置，您可以使用 -XshowSettings:locale 选项。

请参阅 JDK-8310201 (JDK Bug System)。

java . security.debug 系统属性的额外时间戳和 线程 选项

OpenJDK 21.0.5 在 java.security.debug 属性中添加以下选项，它可以应用到任何指定的组件：

例如，-Djava.security.debug=all+timestamp+thread 为带有时间戳和线程信息的所有组件启用调试信息。或者，-Djava.security.debug=properties+timestamp 仅为安全属性启用调试信息，并包括一个时间戳。您可以使用 -Djava.security.debug=help 显示支持的组件和选项的完整列表。

请参阅 JDK-8051959 (JDK Bug System)。

添加 ssl.com 根证书

在 OpenJDK 21.0.5 中，cacerts truststore 包括两个 SSL.com TLS 根证书：

请参阅 JDK-8341057 (JDK Bug System)。

HTTP 客户端增强

OpenJDK 21.0.5 限制 HTTP 客户端在 JDK 中针对所有支持的 HTTP 协议版本接受的最大标头字段大小。标头字段大小计算为未压缩标头名称的总和、未压缩标头值的大小，以及每个字段部分行的开销为 32 字节。如果对等点发送超过这个限制的字段部分，则会引发 java.net.ProtocolException。

OpenJDK 21.0.5 引入了 jdk.http.maxHeaderSize 系统属性，您可以使用它来更改最大标头字段大小（以字节为单位）。或者，您可以通过将 jdk.http.maxHeaderSize 属性设置为 0 或负值来禁用最大标头字段大小。jdk.http.maxHeaderSize 属性默认设置为 393,216 字节（即 384KB）。

JDK bug system reference ID: JDK-8328286

ClassLoadingMXBean 和 MemoryMXBean API 具有与 setVerbose （） 方法一致的 isVerbose （） 方法

ClassLoadingMXBean API 的 setVerbose （布尔值） 方法显示以下行为：

在早期版本中，class LoadingMXBean API 的 isVerbose （） 方法检查是否在任何类型的日志输出上启用了 class+load 日志记录，而不只是 stdout。在这种情况下，如果您使用 java -Xlog 选项启用对文件的日志，则 isVerbose （） 方法返回 true，即使调用 setVerbose (false)，这会导致计数器行为。MemoryMXBean API 的 isVerbose （） 方法也显示类似的计数器行为。

从 OpenJDK 21.0.5 开始，classLoadingMXBean.isVerbose （） 和 MemoryMXBean.isVerbose （） 方法显示以下行为：

请参阅 JDK-8338139 (JDK Bug System)。

更新于 2024-10-31