第 3 章 Red Hat build of OpenJDK 功能

最新的 Red Hat build of OpenJDK 21 发行版本可能包括新功能。另外，最新版本可能会增强、弃用或删除来自以前红帽构建的 OpenJDK 21 版本的功能。

Red Hat build of OpenJDK 的改进

红帽构建的 OpenJDK 21 为最初在以前版本的 OpenJDK 中创建的功能提供了改进。

2024 年 11 月 11 日和由 Entrust root CA 发布的 TLS 服务器证书的不信任

根据 Google 和 Mozilla 最近宣布的类似计划，红帽构建 OpenJDK 21.0.5 信任于 2024 年 11 月 11 日和由 Entrust root 证书颁发机构(CA)发布的 TLS 证书。这个行为的变化包括任何品牌为 AffirmTrust 的证书，这些证书由 Entrust 管理。

Red Hat build of OpenJDK 将继续信任在 2024 年 11 月 11 日或以前发布的证书，直到这些证书过期。

如果服务器的证书链由受影响的证书决定，则任何尝试协商 TLS 会话现在都会失败，但表明信任锚不被信任。例如：

TLS server certificate issued after 2024-11-11 and anchored by a distrusted legacy Entrust root CA: CN=Entrust.net CertificationAuthority (2048), OU=(c) 1999 Entrust.net Limited,OU=www.entrust.net/CPS_2048 incorp. by ref. (limits liab.),O=Entrust.net

您可以使用以下 keytool 命令检查此更改是否影响 JDK 密钥存储中的证书：

keytool -v -list -alias <your_server_alias> -keystore <your_keystore_filename>

如果此更改会影响链中的任何证书，请更新此证书或联系负责管理证书的机构。

如果要继续使用 Entrust root 证书选择的 TLS 服务器证书，您可以通过修改 java.security. properties 系统属性或从 jdk.security.caDistrustPolicies 安全属性中删除 ENTRUST_TLS。

这些限制适用于 Red Hat build of OpenJDK 的以下 Entrust root 证书，其中包括：

请参阅 JDK-8337664 (JDK Bug System) 和 JDK-8341059 (JDK Bug System)。

KEM.getInstance （） 方法检查第三方安全供应商是否已签名

JDK 的加密框架通过确定供应商的代码库和验证供应商的签名来验证第三方安全供应商实施。

在早期版本中，JDK 不会验证密钥封装机制(KEM)实现。

红帽构建的 OpenJDK 21.0.5 以与其他 JDK 服务类型（如 Cipher 和 Mac 供应商）一致的方式验证 KEM 实现。

请参阅 JDK-8322971 (JDK Bug System)。

减少详细区域设置输出 in -XshowSettings launcher 选项

在早期版本中，-XshowSettings launcher 选项打印了可用区域设置的长列表，这会模糊处理其他设置。

在 OpenJDK 21.0.5 中，-XshowSettings launcher 选项默认不再打印可用区域列表。如果要查看与可用区域设置相关的所有设置，您可以使用 -XshowSettings:locale 选项。

请参阅 JDK-8310201 (JDK Bug System)。

java . security.debug 系统属性的额外时间戳和 线程 选项

红帽构建的 OpenJDK 21.0.5 将以下选项添加到 java.security.debug 属性中，该属性可应用于任何指定的组件：

例如，-Djava.security.debug=all+timestamp+thread 为带有时间戳和线程信息的所有组件启用调试信息。或者，-Djava.security.debug=properties+timestamp 仅为安全属性启用调试信息，并包括一个时间戳。您可以使用 -Djava.security.debug=help 显示支持的组件和选项的完整列表。

请参阅 JDK-8051959 (JDK Bug System)。

添加 ssl.com 根证书

在 OpenJDK 21.0.5 中，cacerts truststore 包括两个 SSL.com TLS 根证书：

请参阅 JDK-8341057 (JDK Bug System)。

HTTP 客户端增强

Red Hat build of OpenJDK 21.0.5 限制 HTTP 客户端在 JDK 中针对所有支持的 HTTP 协议接受的最大标头字段大小。标头字段大小计算为未压缩标头名称的总和、未压缩标头值的大小，以及每个字段部分行的开销为 32 字节。如果对等点发送超过这个限制的字段部分，则会引发 java.net.ProtocolException。

Red Hat build of OpenJDK 21.0.5 引入了 jdk.http.maxHeaderSize 系统属性，可用于更改最大标头字段大小（以字节为单位）。或者，您可以通过将 jdk.http.maxHeaderSize 属性设置为 0 或负值来禁用最大标头字段大小。jdk.http.maxHeaderSize 属性默认设置为 393,216 字节（即 384KB）。

请参阅 JDK-8328286 (JDK Bug System)。

ClassLoadingMXBean 和 MemoryMXBean API 具有与 setVerbose （） 方法一致的 isVerbose （） 方法

ClassLoadingMXBean API 的 setVerbose （布尔值） 方法显示以下行为：

在早期版本中，class LoadingMXBean API 的 isVerbose （） 方法检查是否在任何类型的日志输出上启用了 class+load 日志记录，而不只是 stdout。在这种情况下，如果您使用 java -Xlog 选项启用对文件的日志，则 isVerbose （） 方法返回 true，即使调用 setVerbose (false)，这会导致计数器行为。MemoryMXBean API 的 isVerbose （） 方法也显示类似的计数器行为。

从 OpenJDK 21.0.5 开始，class LoadingMXBean.isVerbose （） 和 MemoryMXBean.isVerbose （） 方法显示以下行为：

请参阅 JDK-8338139 (JDK Bug System)。