springbootAI 2.3.8__tar.gz → 2.3.10__tar.gz

{springbootai-2.3.8 → springbootai-2.3.10}/CHANGELOG.md

@@ -1,5 +1,23 @@
 # Changelog
 
+## [2.3.10] - 2026-08-29
+
+- 修复 AI 代理上下游消息被 SQL 注入检测误报：`#{...}` 绑定值始终按数据处理，不再扫描消息内容；`${...}` 原始替换仍默认拒绝，只有配置允许且值完整匹配严格白名单时才能使用。
+- 加固企业级 AOP 注解：完善限流、熔断、幂等和分布式锁的共享后端、失败关闭与异步语义，并补充企业安全回归测试。
+- 加固 OAuth2、CSRF 与 Data REST：完善 JWKS/issuer/audience/algorithm 校验、签名 CSRF Token、默认鉴权以及读写字段白名单。
+- 完善受限 Seata AT 补偿模式：限制可解析 SQL 子集，使用绑定参数采集快照，原子写入 undo_log，增加冲突检测、自动安装代理和恢复线程生命周期管理；该模式仍不提供官方 TC 全局锁或跨服务强一致性。
+- 审计并修正文档：统一当前版本号，修复 Starter 损坏的依赖示例、无效 Spring 官方链接、不可运行的 ChatClient 示例、过期改进记录、配置元数据偏差、Sphinx 包名及乱码注释。
+- README 开头增加对阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司支持的致谢，不声明其使用或官方背书。
+
+## [2.3.9] - 2026-08-28
+
+- 加固 OpenAI 兼容接口与 Ollama 的同步/异步流式协议：校验终止帧、错误信封和畸形响应，限制事件与响应大小，并完善超时、有限重试、重定向拒绝及 SDK 重试边界。
+- 修复 AI 异步流阻塞事件循环、请求参数覆盖受保护字段、输出 Token 上限绕过、工具调用闭环和多租户 Memory/RAG 隔离等问题。
+- 加固 Feign、Gateway、Config Center、Admin 与 Discovery：正确释放响应、执行路由谓词和过滤器、过滤逐跳头、传播请求 ID，并增加路径、响应大小、故障回退与生命周期保护。
+- 新增统一日志脱敏和日志注入防护，覆盖异常链、Bearer/Basic/Cookie、云事件、Nacos、Seata 与 SkyWalking，避免敏感负载进入日志或健康响应。
+- 修复原子脚手架写入、TextReader 文件边界、DevTools 停止/重启语义、SkyWalking 显式初始化和 Banner 版本读取错误。
+- 新增企业加固回归测试；完整测试结果为 3170 passed、11 skipped、0 failed，Bandit 中高危扫描为 0。
+
 ## [2.3.8] - 2026-08-24
 
 - 修复配置加载的原子性与数据库 URL 优先级：请求监控不再误落到根目录 `test.db`，SQLite 运行目录会自动创建，显式 URL/驱动/数据库名称按统一优先级生效。

{springbootai-2.3.8/springbootAI.egg-info → springbootai-2.3.10}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: springbootAI
-Version: 2.3.8
+Version: 2.3.10
 Summary: Spring-style Python framework with Web, ORM, Cloud and AI integrations
 Author-email: YuConggen <1516933915@qq.com>
 License-Expression: MIT
@@ -172,6 +172,8 @@ Dynamic: license-file
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -216,7 +218,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.8`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.10`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -347,10 +349,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.8 |
-| `springbootai.orm.pymybatis` | 2.3.8 |
-| `springbootai.ai` AI 模块 | 2.3.8 |
-| `springbootai.langchain` LangChain 模块 | 2.3.8 |
+| `springbootai` 框架 API | 2.3.10 |
+| `springbootai.orm.pymybatis` | 2.3.10 |
+| `springbootai.ai` AI 模块 | 2.3.10 |
+| `springbootai.langchain` LangChain 模块 | 2.3.10 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -366,7 +368,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -401,7 +403,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -905,7 +907,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""
@@ -937,6 +939,16 @@ class InitService:
             self.connection.close()
 ```
 
+每个 HTTP 请求都会获得 `X-Request-ID`（可通过
+`server.request-id.header` 修改），该值会写回响应并自动进入框架日志，Feign
+和 Gateway 也会向下游透传。日志会遮蔽 Bearer Token、API Key、密码、Cookie
+等常见敏感字段；`logging.diagnose` 默认关闭，避免异常帧局部变量泄密。
+
+声明式 Feign 客户端默认复用连接池，对幂等请求执行有限退避重试，并支持连接/
+读取超时与响应大小限制。直接读取 RAG 文本文件时建议使用
+`TextReader.from_file(path, max_bytes=...)`，文件不存在或超限会明确失败，不会把
+错误路径误当成内联文本。
+
 ### 5.7 应用事件
 
 ```python
@@ -1895,9 +1907,13 @@ export LOG_DIR=logs
 
 # AI 模块
 export AI_PROVIDER=openai
-export AI_ALLOW_FAKE=true
+export AI_ALLOW_FAKE=false
 export OPENAI_API_KEY=sk-xxx
 export OPENAI_CHAT_MODEL=gpt-4o-mini
+export AI_REQUEST_TIMEOUT_SECONDS=60
+export AI_MAX_OUTPUT_TOKENS=4096
+export AI_MAX_TOTAL_TOKENS=100000
+export AI_MAX_TOOL_ITERATIONS=5
 export OLLAMA_BASE_URL=http://localhost:11434
 export OLLAMA_CHAT_MODEL=llama3
 

{springbootai-2.3.8 → springbootai-2.3.10}/README.md

@@ -10,6 +10,8 @@
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -54,7 +56,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.8`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.10`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -185,10 +187,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.8 |
-| `springbootai.orm.pymybatis` | 2.3.8 |
-| `springbootai.ai` AI 模块 | 2.3.8 |
-| `springbootai.langchain` LangChain 模块 | 2.3.8 |
+| `springbootai` 框架 API | 2.3.10 |
+| `springbootai.orm.pymybatis` | 2.3.10 |
+| `springbootai.ai` AI 模块 | 2.3.10 |
+| `springbootai.langchain` LangChain 模块 | 2.3.10 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -204,7 +206,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -239,7 +241,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -743,7 +745,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""
@@ -775,6 +777,16 @@ class InitService:
             self.connection.close()
 ```
 
+每个 HTTP 请求都会获得 `X-Request-ID`（可通过
+`server.request-id.header` 修改），该值会写回响应并自动进入框架日志，Feign
+和 Gateway 也会向下游透传。日志会遮蔽 Bearer Token、API Key、密码、Cookie
+等常见敏感字段；`logging.diagnose` 默认关闭，避免异常帧局部变量泄密。
+
+声明式 Feign 客户端默认复用连接池，对幂等请求执行有限退避重试，并支持连接/
+读取超时与响应大小限制。直接读取 RAG 文本文件时建议使用
+`TextReader.from_file(path, max_bytes=...)`，文件不存在或超限会明确失败，不会把
+错误路径误当成内联文本。
+
 ### 5.7 应用事件
 
 ```python
@@ -1733,9 +1745,13 @@ export LOG_DIR=logs
 
 # AI 模块
 export AI_PROVIDER=openai
-export AI_ALLOW_FAKE=true
+export AI_ALLOW_FAKE=false
 export OPENAI_API_KEY=sk-xxx
 export OPENAI_CHAT_MODEL=gpt-4o-mini
+export AI_REQUEST_TIMEOUT_SECONDS=60
+export AI_MAX_OUTPUT_TOKENS=4096
+export AI_MAX_TOTAL_TOKENS=100000
+export AI_MAX_TOOL_ITERATIONS=5
 export OLLAMA_BASE_URL=http://localhost:11434
 export OLLAMA_CHAT_MODEL=llama3
 

{springbootai-2.3.8 → springbootai-2.3.10}/pyproject.toml

@@ -3,16 +3,16 @@ requires = ["setuptools>=77", "wheel>=0.37"]
 build-backend = "setuptools.build_meta"
 
 # ========================================
-# SpringBootAI 椤圭洰鍏冩暟鎹笌渚濊禆澹版槑锛圥EP 621锛?
-# 鏈枃浠舵槸渚濊禆鐨勫崟涓€鐪熷疄鏉ユ簮锛岀被浼?Spring Boot 鐨?pom.xml
-# 鐗堟湰閿佸畾绛栫暐锛氭墍鏈夌洿鎺ヤ緷璧栦娇鐢?== 绮剧‘閿佸畾
-# 瀹為獙鎬?HTTP 琛ュ伩鍗忚皟鍣ㄤ笉鎻愪緵 Seata AT 璇箟锛涚敓浜у垎甯冨紡浜嬪姟闇€瑕佺湡瀹炲崗璋冨櫒
+# SpringBootAI 项目元数据与依赖声明（PEP 621）
+# 本文件是依赖的唯一真实来源，类似 Spring Boot 的 pom.xml。
+# 核心依赖使用精确版本；LangChain partner 包使用带上限的兼容范围。
+# 内置 HTTP/AT 模式是受限补偿机制；生产分布式事务需要真实协调器和业务幂等。
 # ========================================
 
 [project]
 # Distribution name: springbootAI (pip install springbootAI); import package: springbootai.
 name = "springbootAI"
-version = "2.3.8"
+version = "2.3.10"
 description = "Spring-style Python framework with Web, ORM, Cloud and AI integrations"
 readme = "README.md"
 license = "MIT"
@@ -35,8 +35,8 @@ classifiers = [
 requires-python = ">=3.10"
 
 # ========================================
-# 鏍稿績渚濊禆 - 绫讳技 Spring Boot Starter Web/Core
-# 瀹夎锛歱ip install springbootAI
+# 核心依赖——类似 Spring Boot Starter Web/Core
+# 安装：pip install springbootAI
 # ========================================
 dependencies = [
     "fastapi==0.141.1",
@@ -56,50 +56,50 @@ dependencies = [
 
 [project.optional-dependencies]
 # ========================================
-# 鏁版嵁搴撻┍鍔?- 绫讳技 Spring Boot Starter JDBC/Data JPA
+# 数据库驱动——类似 Spring Boot Starter JDBC/Data JPA
 # ========================================
 mysql = ["PyMySQL==1.2.0"]
 postgresql = ["psycopg2-binary==2.9.12"]
 sqlalchemy = ["sqlalchemy==2.0.40"]
 
 # ========================================
-# Redis - 绫讳技 Spring Boot Starter Data Redis
+# Redis——类似 Spring Boot Starter Data Redis
 # ========================================
 redis = ["redis==8.1.0"]
 
 # ========================================
-# 娑堟伅闃熷垪 - 绫讳技 Spring Boot Starter AMQP
+# 消息队列——类似 Spring Boot Starter AMQP
 # ========================================
 rabbitmq = ["pika==1.4.4"]
 kafka = ["kafka-python==2.0.2"]
 
 # ========================================
-# 鏈嶅姟鍙戠幇 - 绫讳技 Spring Cloud Alibaba Nacos
+# 服务发现——类似 Spring Cloud Alibaba Nacos
 # ========================================
 nacos = ["nacos-sdk-python==2.0.11"]
 
 # ========================================
-# 鐩戞帶鍜屾棩蹇?- 绫讳技 Spring Boot Actuator + Micrometer
+# 监控和日志——类似 Spring Boot Actuator + Micrometer
 # ========================================
 prometheus = ["prometheus-client==0.26.0"]
 logging = ["loguru==0.7.3"]
 
 # ========================================
-# SQL娉ㄥ叆妫€娴?
+# SQL 结构分析（可选 AST 校验）
 # ========================================
 ast = ["sqlglot==27.28.1"]
 
 # ========================================
-# Excel 娉ㄨВ椹卞姩璇诲啓 - 绫讳技 alibaba EasyExcel
-# 瀹夎锛歱ip install springbootAI[excel]
+# Excel 注解驱动读写——类似 Alibaba EasyExcel
+# 安装：pip install springbootAI[excel]
 # ========================================
 excel = ["openpyxl==3.1.5"]
 
 # ========================================
-# SpringBootAI AI 妯″潡 - 瀵归綈 Spring AI锛圕hatClient/Advisor/ETL/Tools锛?
-# 瀹夎锛歱ip install springbootAI[ai]
-# AI 妯″潡閲囩敤"鍙€変緷璧?+ 闄嶇骇"璁捐锛氭湭瀹夎浠嶅彲鐢紙闄嶇骇鍘熺敓 HTTP + FakeChatModel锛?
-# 渚濊禆娓呭崟鍚屾鑷?requirements-ai.txt锛堟墍鏈夌増鏈彿 == 宸叉祴璇曢獙璇侊級
+# SpringBootAI AI 模块——对齐 Spring AI（ChatClient/Advisor/ETL/Tools）
+# 安装：pip install springbootAI[ai]
+# 可选依赖未安装时核心包仍可导入；真实模型能力需安装对应 extra。
+# 依赖清单与 requirements-ai.txt 保持同步。
 # ========================================
 ai = [
     "langchain-openai==1.4.2",
@@ -112,10 +112,10 @@ ai = [
 ]
 
 # ========================================
-# SpringBootAI LangChain 妯″潡 - 灏佽 langchain classic 鍏ㄥ鑳藉姏 + 30+ partner 鎻愪緵鍟?
-# 瀹夎锛歱ip install springbootAI[langchain]
-# 璁捐锛歱artner 鍖呮寜闇€鍚敤锛屾湭瀹夎鐨?partner 鐢?@ConditionalOnClass/鍙嬪ソ閿欒鑷姩璺宠繃
-# 璇﹁ doc/LANGCHAIN_MODULE.md
+# SpringBootAI LangChain 模块——封装 langchain classic 与常用 partner
+# 安装：pip install springbootAI[langchain]
+# partner 包按需启用；未安装的 provider 会跳过并给出明确提示。
+# 详见 doc/LANGCHAIN_MODULE.md
 # ========================================
 langchain = [
     "langchain-openai==1.4.2",
@@ -125,13 +125,13 @@ langchain = [
     "langchain-community==0.4.2",
     "numpy==2.2.6",
     "pydantic==2.13.4",
-    # 榛樿瑁呬笂鐨勫悜閲忓簱/鏂囨。/宸ュ叿渚濊禆锛堝畨鍏細鍏ㄩ儴閿佸畾宸茬煡瀹夊叏鐗堟湰锛?
+    # 默认安装的向量库、文档和工具依赖
     "faiss-cpu>=1.7.4,<2",
     "pypdf>=4.0.0,<6",
     "beautifulsoup4>=4.12.0,<5",
     "sqlalchemy>=2.0.0,<3",
-    # partner 鎻愪緵鍟嗗寘锛堟寜闇€鍚敤锛屼笅闈㈡槸甯哥敤鍑犳锛涘叾浣欒 PARTNER_REGISTRY 鏂囨。鎸夐渶 pip install锛?
-    # 瀹夊叏锛氶攣瀹氫笂闄愮増鏈槻姝緵搴旈摼鏀诲嚮锛宲ip-audit 浼氬湪 CI 涓寔缁壂鎻?
+    # 常用 partner 包；其他 provider 见 PARTNER_REGISTRY，按需安装。
+    # 所有兼容范围均设置上限，并由 CI 持续执行依赖审计。
     "langchain-anthropic>=0.2.0,<2",
     "langchain-ollama>=0.2.0,<2",
     "langchain-chroma>=0.1.0,<2",
@@ -144,9 +144,9 @@ langchain = [
 ]
 
 # ========================================
-# SpringBootAI LangGraph 濡€虫健 - 閻欘剛鐝涢惃鍕Ц閹礁娴樼紓鏍ㄥ笓娑撳骸褰查幁銏狀槻閹笛嗩攽
-# 鐎瑰顥婇敍姝眎p install springbootAI[langgraph]
-# 濮ｅ繑顐奸崣鎴濈闁夸礁鐣鹃悧鍫熸拱閿涘奔绗?langchain-core 1.x 閺嶇绺鹃幒銉ュ經閸忕厧顔?
+# SpringBootAI LangGraph 模块——状态图、持久化检查点与工作流编排
+# 安装：pip install springbootAI[langgraph]
+# 版本与 langchain-core 1.x 兼容矩阵保持一致。
 # ========================================
 langgraph = [
     "langgraph==1.2.9",
@@ -160,8 +160,8 @@ mcp = [
 ]
 
 # ========================================
-# 缁勫悎 Starter - 绫讳技 Spring Boot Starter Web/Cloud/All
-# 瀹夎锛歱ip install springbootAI[web] / springbootAI[cloud] / springbootAI[all]
+# 组合 Starter——类似 Spring Boot Starter Web/Cloud/All
+# 安装：pip install springbootAI[web] / springbootAI[cloud] / springbootAI[all]
 # ========================================
 web = [
     "fastapi==0.141.1",
@@ -194,7 +194,7 @@ all = [
 ]
 
 # ========================================
-# 寮€鍙戜緷璧?
+# 开发依赖
 # ========================================
 dev = [
     "pytest==9.1.1",
@@ -204,28 +204,28 @@ dev = [
 ]
 
 # ========================================
-# 鍏ㄩ儴渚濊禆锛堜竴閿畨瑁咃級
+# 全部依赖（一键安装）
 # ========================================
 full = [
-    # 鏁版嵁搴撻┍鍔?
+    # 数据库驱动
     "PyMySQL==1.2.0",
     "psycopg2-binary==2.9.12",
     "sqlalchemy==2.0.40",
-    # 缂撳瓨 / 娑堟伅 / 鏈嶅姟鍙戠幇
+    # 缓存 / 消息 / 服务发现
     "redis==8.1.0",
     "pika==1.4.4",
     "nacos-sdk-python==2.0.11",
-    # 鐩戞帶 / 鏃ュ織 / 瀹夊叏
+    # 监控 / 日志 / 安全
     "prometheus-client==0.26.0",
     "loguru==0.7.3",
     "sqlglot==27.28.1",
     "defusedxml==0.7.1",
-    # HTTP 瀹㈡埛绔?
+    # HTTP 客户端
     "requests==2.34.2",
     "httpx==0.28.1",
     # Excel
     "openpyxl==3.1.5",
-    # AI 妯″潡锛堝榻?springbootAI[ai]锛?
+    # AI 模块（对齐 springbootAI[ai]）
     "langchain-openai==1.4.2",
     "langchain-core==1.5.4",
     "langchain-classic==1.0.8",
@@ -233,12 +233,12 @@ full = [
     "langchain-community==0.4.2",
     "numpy==2.2.6",
     "pydantic==2.13.4",
-    # LangChain 妯″潡澧炲己锛堝榻?springbootAI[langchain]锛?
+    # LangChain 模块增强（对齐 springbootAI[langchain]）
     "faiss-cpu>=1.7.4,<2",
     "pypdf>=4.0.0,<6",
     "beautifulsoup4>=4.12.0,<5",
     "langchain-experimental>=0.3.0,<2",
-    # partner 鎻愪緵鍟嗗寘锛堟寜闇€鍚敤锛涘彲閫?partner 鏈湪姝ゅ垪鍑猴紝pip install 瀵瑰簲鍖呭嵆鍙級
+    # 常用 partner 包；其他 provider 可按需安装对应包。
     "langchain-anthropic>=0.2.0,<2",
     "langchain-ollama>=0.2.0,<2",
     "langchain-chroma>=0.1.0,<2",
@@ -256,12 +256,11 @@ full = [
 
 [tool.pytest.ini_options]
 pythonpath = [".", "examples"]
+testpaths = ["tests"]
 filterwarnings = [
-    # 闈欓粯 langchain_classic 寮冪敤鍛婅鍜?community sunset 鍛婅
-    # 鍘熷洜锛氭湰椤圭洰鏈夋剰閿佸畾 langchain classic (1.x) API锛岃繖浜涙槸棰勬湡鍐呯殑妗嗘灦绾у憡璀?
-    # 娉ㄦ剰锛歀angChainDeprecationWarning 鏄?DeprecationWarning 瀛愮被锛?
-    #      pytest 鐨?default::DeprecationWarning 浼氳鐩?simplefilter锛?
-    #      鍥犳蹇呴』鍦ㄦ閰嶇疆涓槑纭拷鐣ャ€?
+    # 静默 langchain_classic 弃用告警和 community sunset 告警。
+    # 项目当前有意兼容 classic 1.x API，这些属于已知的框架级告警。
+    # LangChainDeprecationWarning 是 DeprecationWarning 子类，因此在这里精确过滤。
     "ignore:.*LLMChain.*:DeprecationWarning",
     "ignore:.*ConversationChain.*:DeprecationWarning",
     "ignore:.*ConversationBufferMemory.*:DeprecationWarning",
@@ -288,8 +287,8 @@ Issues = "https://github.com/YUCONGGEN/springbootAI/issues"
 
 [project.scripts]
 springbootai = "springbootai.main:run_cli"
-# 椤圭洰鑴氭墜鏋跺伐鍏凤紙绫讳技 Spring Initializr锛夈€傜湡瀹炵粓绔粯璁や腑鏂囬棶绛旓紱
-# CI/鑴氭湰璇锋樉寮忎娇鐢細springbootai-init my-project --modules web,orm --non-interactive
+# 项目脚手架工具（类似 Spring Initializr）。真实终端默认使用中文问答；
+# CI/脚本请显式使用：springbootai-init my-project --modules web,orm --non-interactive
 springbootai-init = "springbootai.cli.scaffold:main"
 
 [tool.setuptools.packages.find]

{springbootai-2.3.8 → springbootai-2.3.10/springbootAI.egg-info}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: springbootAI
-Version: 2.3.8
+Version: 2.3.10
 Summary: Spring-style Python framework with Web, ORM, Cloud and AI integrations
 Author-email: YuConggen <1516933915@qq.com>
 License-Expression: MIT
@@ -172,6 +172,8 @@ Dynamic: license-file
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -216,7 +218,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.8`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.10`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -347,10 +349,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.8 |
-| `springbootai.orm.pymybatis` | 2.3.8 |
-| `springbootai.ai` AI 模块 | 2.3.8 |
-| `springbootai.langchain` LangChain 模块 | 2.3.8 |
+| `springbootai` 框架 API | 2.3.10 |
+| `springbootai.orm.pymybatis` | 2.3.10 |
+| `springbootai.ai` AI 模块 | 2.3.10 |
+| `springbootai.langchain` LangChain 模块 | 2.3.10 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -366,7 +368,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -401,7 +403,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -905,7 +907,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""
@@ -937,6 +939,16 @@ class InitService:
             self.connection.close()
 ```
 
+每个 HTTP 请求都会获得 `X-Request-ID`（可通过
+`server.request-id.header` 修改），该值会写回响应并自动进入框架日志，Feign
+和 Gateway 也会向下游透传。日志会遮蔽 Bearer Token、API Key、密码、Cookie
+等常见敏感字段；`logging.diagnose` 默认关闭，避免异常帧局部变量泄密。
+
+声明式 Feign 客户端默认复用连接池，对幂等请求执行有限退避重试，并支持连接/
+读取超时与响应大小限制。直接读取 RAG 文本文件时建议使用
+`TextReader.from_file(path, max_bytes=...)`，文件不存在或超限会明确失败，不会把
+错误路径误当成内联文本。
+
 ### 5.7 应用事件
 
 ```python
@@ -1895,9 +1907,13 @@ export LOG_DIR=logs
 
 # AI 模块
 export AI_PROVIDER=openai
-export AI_ALLOW_FAKE=true
+export AI_ALLOW_FAKE=false
 export OPENAI_API_KEY=sk-xxx
 export OPENAI_CHAT_MODEL=gpt-4o-mini
+export AI_REQUEST_TIMEOUT_SECONDS=60
+export AI_MAX_OUTPUT_TOKENS=4096
+export AI_MAX_TOTAL_TOKENS=100000
+export AI_MAX_TOOL_ITERATIONS=5
 export OLLAMA_BASE_URL=http://localhost:11434
 export OLLAMA_CHAT_MODEL=llama3
 

{springbootai-2.3.8 → springbootai-2.3.10}/springbootAI.egg-info/SOURCES.txt

@@ -157,6 +157,7 @@ springbootai/langgraph/checkpoint.py
 springbootai/langgraph/config.py
 springbootai/langgraph/runtime.py
 springbootai/logging/__init__.py
+springbootai/logging/context.py
 springbootai/logging/loguru_logger.py
 springbootai/mcp/__init__.py
 springbootai/mcp/annotation_runtime.py
@@ -266,7 +267,9 @@ tests/test_actuator_prometheus_admin.py
 tests/test_ai_annotations.py
 tests/test_ai_comprehensive.py
 tests/test_ai_declarative_annotations.py
+tests/test_ai_enterprise_hardening.py
 tests/test_ai_module.py
+tests/test_ai_stream_hardening.py
 tests/test_annotation_combinations.py
 tests/test_annotations_contract.py
 tests/test_aop_annotations_full.py
@@ -278,9 +281,11 @@ tests/test_bus.py
 tests/test_cache_annotations.py
 tests/test_cli.py
 tests/test_cloud_embedded_full.py
+tests/test_cloud_log_safety.py
 tests/test_component_init_error.py
 tests/test_compositional_annotations.py
 tests/test_conditional_annotations.py
+tests/test_config_admin_hardening.py
 tests/test_config_binding.py
 tests/test_config_center.py
 tests/test_config_center_hardening.py
@@ -297,10 +302,13 @@ tests/test_datasource_routing.py
 tests/test_ddl_auto.py
 tests/test_declarative_aop_post_authorize_recover.py
 tests/test_devtools.py
+tests/test_devtools_lifecycle_hardening.py
 tests/test_di_config_event_full.py
+tests/test_enterprise_safety_regressions.py
 tests/test_excel_module.py
 tests/test_hateoas.py
 tests/test_i18n_module.py
+tests/test_io_http_logging_hardening.py
 tests/test_ioc_lifecycle_enhancements.py
 tests/test_jpa_version_transient.py
 tests/test_kafka.py

{springbootai-2.3.8 → springbootai-2.3.10}/springbootai/__init__.py

@@ -19,7 +19,7 @@ from .config import *
 from .utils import *
 from .main import create_app, run, SpringApplication, run_cli
 
-__version__ = "2.3.8"
+__version__ = "2.3.10"
 __author__ = "yuconggen"
 __license__ = "MIT"