springbootAI 2.3.9__tar.gz → 2.3.10__tar.gz

{springbootai-2.3.9 → springbootai-2.3.10}/CHANGELOG.md

@@ -1,5 +1,14 @@
 # Changelog
 
+## [2.3.10] - 2026-08-29
+
+- 修复 AI 代理上下游消息被 SQL 注入检测误报：`#{...}` 绑定值始终按数据处理，不再扫描消息内容；`${...}` 原始替换仍默认拒绝，只有配置允许且值完整匹配严格白名单时才能使用。
+- 加固企业级 AOP 注解：完善限流、熔断、幂等和分布式锁的共享后端、失败关闭与异步语义，并补充企业安全回归测试。
+- 加固 OAuth2、CSRF 与 Data REST：完善 JWKS/issuer/audience/algorithm 校验、签名 CSRF Token、默认鉴权以及读写字段白名单。
+- 完善受限 Seata AT 补偿模式：限制可解析 SQL 子集，使用绑定参数采集快照，原子写入 undo_log，增加冲突检测、自动安装代理和恢复线程生命周期管理；该模式仍不提供官方 TC 全局锁或跨服务强一致性。
+- 审计并修正文档：统一当前版本号，修复 Starter 损坏的依赖示例、无效 Spring 官方链接、不可运行的 ChatClient 示例、过期改进记录、配置元数据偏差、Sphinx 包名及乱码注释。
+- README 开头增加对阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司支持的致谢，不声明其使用或官方背书。
+
 ## [2.3.9] - 2026-08-28
 
 - 加固 OpenAI 兼容接口与 Ollama 的同步/异步流式协议：校验终止帧、错误信封和畸形响应，限制事件与响应大小，并完善超时、有限重试、重定向拒绝及 SDK 重试边界。

{springbootai-2.3.9/springbootAI.egg-info → springbootai-2.3.10}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: springbootAI
-Version: 2.3.9
+Version: 2.3.10
 Summary: Spring-style Python framework with Web, ORM, Cloud and AI integrations
 Author-email: YuConggen <1516933915@qq.com>
 License-Expression: MIT
@@ -172,6 +172,8 @@ Dynamic: license-file
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -216,7 +218,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.9`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.10`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -347,10 +349,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.9 |
-| `springbootai.orm.pymybatis` | 2.3.9 |
-| `springbootai.ai` AI 模块 | 2.3.9 |
-| `springbootai.langchain` LangChain 模块 | 2.3.9 |
+| `springbootai` 框架 API | 2.3.10 |
+| `springbootai.orm.pymybatis` | 2.3.10 |
+| `springbootai.ai` AI 模块 | 2.3.10 |
+| `springbootai.langchain` LangChain 模块 | 2.3.10 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -366,7 +368,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -401,7 +403,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -905,7 +907,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""

{springbootai-2.3.9 → springbootai-2.3.10}/README.md

@@ -10,6 +10,8 @@
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -54,7 +56,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.9`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.10`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -185,10 +187,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.9 |
-| `springbootai.orm.pymybatis` | 2.3.9 |
-| `springbootai.ai` AI 模块 | 2.3.9 |
-| `springbootai.langchain` LangChain 模块 | 2.3.9 |
+| `springbootai` 框架 API | 2.3.10 |
+| `springbootai.orm.pymybatis` | 2.3.10 |
+| `springbootai.ai` AI 模块 | 2.3.10 |
+| `springbootai.langchain` LangChain 模块 | 2.3.10 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -204,7 +206,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -239,7 +241,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -743,7 +745,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""

{springbootai-2.3.9 → springbootai-2.3.10}/pyproject.toml

@@ -3,16 +3,16 @@ requires = ["setuptools>=77", "wheel>=0.37"]
 build-backend = "setuptools.build_meta"
 
 # ========================================
-# SpringBootAI 椤圭洰鍏冩暟鎹笌渚濊禆澹版槑锛圥EP 621锛?
-# 鏈枃浠舵槸渚濊禆鐨勫崟涓€鐪熷疄鏉ユ簮锛岀被浼?Spring Boot 鐨?pom.xml
-# 鐗堟湰閿佸畾绛栫暐锛氭墍鏈夌洿鎺ヤ緷璧栦娇鐢?== 绮剧‘閿佸畾
-# 瀹為獙鎬?HTTP 琛ュ伩鍗忚皟鍣ㄤ笉鎻愪緵 Seata AT 璇箟锛涚敓浜у垎甯冨紡浜嬪姟闇€瑕佺湡瀹炲崗璋冨櫒
+# SpringBootAI 项目元数据与依赖声明（PEP 621）
+# 本文件是依赖的唯一真实来源，类似 Spring Boot 的 pom.xml。
+# 核心依赖使用精确版本；LangChain partner 包使用带上限的兼容范围。
+# 内置 HTTP/AT 模式是受限补偿机制；生产分布式事务需要真实协调器和业务幂等。
 # ========================================
 
 [project]
 # Distribution name: springbootAI (pip install springbootAI); import package: springbootai.
 name = "springbootAI"
-version = "2.3.9"
+version = "2.3.10"
 description = "Spring-style Python framework with Web, ORM, Cloud and AI integrations"
 readme = "README.md"
 license = "MIT"
@@ -35,8 +35,8 @@ classifiers = [
 requires-python = ">=3.10"
 
 # ========================================
-# 鏍稿績渚濊禆 - 绫讳技 Spring Boot Starter Web/Core
-# 瀹夎锛歱ip install springbootAI
+# 核心依赖——类似 Spring Boot Starter Web/Core
+# 安装：pip install springbootAI
 # ========================================
 dependencies = [
     "fastapi==0.141.1",
@@ -56,50 +56,50 @@ dependencies = [
 
 [project.optional-dependencies]
 # ========================================
-# 鏁版嵁搴撻┍鍔?- 绫讳技 Spring Boot Starter JDBC/Data JPA
+# 数据库驱动——类似 Spring Boot Starter JDBC/Data JPA
 # ========================================
 mysql = ["PyMySQL==1.2.0"]
 postgresql = ["psycopg2-binary==2.9.12"]
 sqlalchemy = ["sqlalchemy==2.0.40"]
 
 # ========================================
-# Redis - 绫讳技 Spring Boot Starter Data Redis
+# Redis——类似 Spring Boot Starter Data Redis
 # ========================================
 redis = ["redis==8.1.0"]
 
 # ========================================
-# 娑堟伅闃熷垪 - 绫讳技 Spring Boot Starter AMQP
+# 消息队列——类似 Spring Boot Starter AMQP
 # ========================================
 rabbitmq = ["pika==1.4.4"]
 kafka = ["kafka-python==2.0.2"]
 
 # ========================================
-# 鏈嶅姟鍙戠幇 - 绫讳技 Spring Cloud Alibaba Nacos
+# 服务发现——类似 Spring Cloud Alibaba Nacos
 # ========================================
 nacos = ["nacos-sdk-python==2.0.11"]
 
 # ========================================
-# 鐩戞帶鍜屾棩蹇?- 绫讳技 Spring Boot Actuator + Micrometer
+# 监控和日志——类似 Spring Boot Actuator + Micrometer
 # ========================================
 prometheus = ["prometheus-client==0.26.0"]
 logging = ["loguru==0.7.3"]
 
 # ========================================
-# SQL娉ㄥ叆妫€娴?
+# SQL 结构分析（可选 AST 校验）
 # ========================================
 ast = ["sqlglot==27.28.1"]
 
 # ========================================
-# Excel 娉ㄨВ椹卞姩璇诲啓 - 绫讳技 alibaba EasyExcel
-# 瀹夎锛歱ip install springbootAI[excel]
+# Excel 注解驱动读写——类似 Alibaba EasyExcel
+# 安装：pip install springbootAI[excel]
 # ========================================
 excel = ["openpyxl==3.1.5"]
 
 # ========================================
-# SpringBootAI AI 妯″潡 - 瀵归綈 Spring AI锛圕hatClient/Advisor/ETL/Tools锛?
-# 瀹夎锛歱ip install springbootAI[ai]
-# AI 妯″潡閲囩敤"鍙€変緷璧?+ 闄嶇骇"璁捐锛氭湭瀹夎浠嶅彲鐢紙闄嶇骇鍘熺敓 HTTP + FakeChatModel锛?
-# 渚濊禆娓呭崟鍚屾鑷?requirements-ai.txt锛堟墍鏈夌増鏈彿 == 宸叉祴璇曢獙璇侊級
+# SpringBootAI AI 模块——对齐 Spring AI（ChatClient/Advisor/ETL/Tools）
+# 安装：pip install springbootAI[ai]
+# 可选依赖未安装时核心包仍可导入；真实模型能力需安装对应 extra。
+# 依赖清单与 requirements-ai.txt 保持同步。
 # ========================================
 ai = [
     "langchain-openai==1.4.2",
@@ -112,10 +112,10 @@ ai = [
 ]
 
 # ========================================
-# SpringBootAI LangChain 妯″潡 - 灏佽 langchain classic 鍏ㄥ鑳藉姏 + 30+ partner 鎻愪緵鍟?
-# 瀹夎锛歱ip install springbootAI[langchain]
-# 璁捐锛歱artner 鍖呮寜闇€鍚敤锛屾湭瀹夎鐨?partner 鐢?@ConditionalOnClass/鍙嬪ソ閿欒鑷姩璺宠繃
-# 璇﹁ doc/LANGCHAIN_MODULE.md
+# SpringBootAI LangChain 模块——封装 langchain classic 与常用 partner
+# 安装：pip install springbootAI[langchain]
+# partner 包按需启用；未安装的 provider 会跳过并给出明确提示。
+# 详见 doc/LANGCHAIN_MODULE.md
 # ========================================
 langchain = [
     "langchain-openai==1.4.2",
@@ -125,13 +125,13 @@ langchain = [
     "langchain-community==0.4.2",
     "numpy==2.2.6",
     "pydantic==2.13.4",
-    # 榛樿瑁呬笂鐨勫悜閲忓簱/鏂囨。/宸ュ叿渚濊禆锛堝畨鍏細鍏ㄩ儴閿佸畾宸茬煡瀹夊叏鐗堟湰锛?
+    # 默认安装的向量库、文档和工具依赖
     "faiss-cpu>=1.7.4,<2",
     "pypdf>=4.0.0,<6",
     "beautifulsoup4>=4.12.0,<5",
     "sqlalchemy>=2.0.0,<3",
-    # partner 鎻愪緵鍟嗗寘锛堟寜闇€鍚敤锛屼笅闈㈡槸甯哥敤鍑犳锛涘叾浣欒 PARTNER_REGISTRY 鏂囨。鎸夐渶 pip install锛?
-    # 瀹夊叏锛氶攣瀹氫笂闄愮増鏈槻姝緵搴旈摼鏀诲嚮锛宲ip-audit 浼氬湪 CI 涓寔缁壂鎻?
+    # 常用 partner 包；其他 provider 见 PARTNER_REGISTRY，按需安装。
+    # 所有兼容范围均设置上限，并由 CI 持续执行依赖审计。
     "langchain-anthropic>=0.2.0,<2",
     "langchain-ollama>=0.2.0,<2",
     "langchain-chroma>=0.1.0,<2",
@@ -144,9 +144,9 @@ langchain = [
 ]
 
 # ========================================
-# SpringBootAI LangGraph 濡€虫健 - 閻欘剛鐝涢惃鍕Ц閹礁娴樼紓鏍ㄥ笓娑撳骸褰查幁銏狀槻閹笛嗩攽
-# 鐎瑰顥婇敍姝眎p install springbootAI[langgraph]
-# 濮ｅ繑顐奸崣鎴濈闁夸礁鐣鹃悧鍫熸拱閿涘奔绗?langchain-core 1.x 閺嶇绺鹃幒銉ュ經閸忕厧顔?
+# SpringBootAI LangGraph 模块——状态图、持久化检查点与工作流编排
+# 安装：pip install springbootAI[langgraph]
+# 版本与 langchain-core 1.x 兼容矩阵保持一致。
 # ========================================
 langgraph = [
     "langgraph==1.2.9",
@@ -160,8 +160,8 @@ mcp = [
 ]
 
 # ========================================
-# 缁勫悎 Starter - 绫讳技 Spring Boot Starter Web/Cloud/All
-# 瀹夎锛歱ip install springbootAI[web] / springbootAI[cloud] / springbootAI[all]
+# 组合 Starter——类似 Spring Boot Starter Web/Cloud/All
+# 安装：pip install springbootAI[web] / springbootAI[cloud] / springbootAI[all]
 # ========================================
 web = [
     "fastapi==0.141.1",
@@ -194,7 +194,7 @@ all = [
 ]
 
 # ========================================
-# 寮€鍙戜緷璧?
+# 开发依赖
 # ========================================
 dev = [
     "pytest==9.1.1",
@@ -204,28 +204,28 @@ dev = [
 ]
 
 # ========================================
-# 鍏ㄩ儴渚濊禆锛堜竴閿畨瑁咃級
+# 全部依赖（一键安装）
 # ========================================
 full = [
-    # 鏁版嵁搴撻┍鍔?
+    # 数据库驱动
     "PyMySQL==1.2.0",
     "psycopg2-binary==2.9.12",
     "sqlalchemy==2.0.40",
-    # 缂撳瓨 / 娑堟伅 / 鏈嶅姟鍙戠幇
+    # 缓存 / 消息 / 服务发现
     "redis==8.1.0",
     "pika==1.4.4",
     "nacos-sdk-python==2.0.11",
-    # 鐩戞帶 / 鏃ュ織 / 瀹夊叏
+    # 监控 / 日志 / 安全
     "prometheus-client==0.26.0",
     "loguru==0.7.3",
     "sqlglot==27.28.1",
     "defusedxml==0.7.1",
-    # HTTP 瀹㈡埛绔?
+    # HTTP 客户端
     "requests==2.34.2",
     "httpx==0.28.1",
     # Excel
     "openpyxl==3.1.5",
-    # AI 妯″潡锛堝榻?springbootAI[ai]锛?
+    # AI 模块（对齐 springbootAI[ai]）
     "langchain-openai==1.4.2",
     "langchain-core==1.5.4",
     "langchain-classic==1.0.8",
@@ -233,12 +233,12 @@ full = [
     "langchain-community==0.4.2",
     "numpy==2.2.6",
     "pydantic==2.13.4",
-    # LangChain 妯″潡澧炲己锛堝榻?springbootAI[langchain]锛?
+    # LangChain 模块增强（对齐 springbootAI[langchain]）
     "faiss-cpu>=1.7.4,<2",
     "pypdf>=4.0.0,<6",
     "beautifulsoup4>=4.12.0,<5",
     "langchain-experimental>=0.3.0,<2",
-    # partner 鎻愪緵鍟嗗寘锛堟寜闇€鍚敤锛涘彲閫?partner 鏈湪姝ゅ垪鍑猴紝pip install 瀵瑰簲鍖呭嵆鍙級
+    # 常用 partner 包；其他 provider 可按需安装对应包。
     "langchain-anthropic>=0.2.0,<2",
     "langchain-ollama>=0.2.0,<2",
     "langchain-chroma>=0.1.0,<2",
@@ -258,11 +258,9 @@ full = [
 pythonpath = [".", "examples"]
 testpaths = ["tests"]
 filterwarnings = [
-    # 闈欓粯 langchain_classic 寮冪敤鍛婅鍜?community sunset 鍛婅
-    # 鍘熷洜锛氭湰椤圭洰鏈夋剰閿佸畾 langchain classic (1.x) API锛岃繖浜涙槸棰勬湡鍐呯殑妗嗘灦绾у憡璀?
-    # 娉ㄦ剰锛歀angChainDeprecationWarning 鏄?DeprecationWarning 瀛愮被锛?
-    #      pytest 鐨?default::DeprecationWarning 浼氳鐩?simplefilter锛?
-    #      鍥犳蹇呴』鍦ㄦ閰嶇疆涓槑纭拷鐣ャ€?
+    # 静默 langchain_classic 弃用告警和 community sunset 告警。
+    # 项目当前有意兼容 classic 1.x API，这些属于已知的框架级告警。
+    # LangChainDeprecationWarning 是 DeprecationWarning 子类，因此在这里精确过滤。
     "ignore:.*LLMChain.*:DeprecationWarning",
     "ignore:.*ConversationChain.*:DeprecationWarning",
     "ignore:.*ConversationBufferMemory.*:DeprecationWarning",
@@ -289,8 +287,8 @@ Issues = "https://github.com/YUCONGGEN/springbootAI/issues"
 
 [project.scripts]
 springbootai = "springbootai.main:run_cli"
-# 椤圭洰鑴氭墜鏋跺伐鍏凤紙绫讳技 Spring Initializr锛夈€傜湡瀹炵粓绔粯璁や腑鏂囬棶绛旓紱
-# CI/鑴氭湰璇锋樉寮忎娇鐢細springbootai-init my-project --modules web,orm --non-interactive
+# 项目脚手架工具（类似 Spring Initializr）。真实终端默认使用中文问答；
+# CI/脚本请显式使用：springbootai-init my-project --modules web,orm --non-interactive
 springbootai-init = "springbootai.cli.scaffold:main"
 
 [tool.setuptools.packages.find]

{springbootai-2.3.9 → springbootai-2.3.10/springbootAI.egg-info}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: springbootAI
-Version: 2.3.9
+Version: 2.3.10
 Summary: Spring-style Python framework with Web, ORM, Cloud and AI integrations
 Author-email: YuConggen <1516933915@qq.com>
 License-Expression: MIT
@@ -172,6 +172,8 @@ Dynamic: license-file
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -216,7 +218,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.9`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.10`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -347,10 +349,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.9 |
-| `springbootai.orm.pymybatis` | 2.3.9 |
-| `springbootai.ai` AI 模块 | 2.3.9 |
-| `springbootai.langchain` LangChain 模块 | 2.3.9 |
+| `springbootai` 框架 API | 2.3.10 |
+| `springbootai.orm.pymybatis` | 2.3.10 |
+| `springbootai.ai` AI 模块 | 2.3.10 |
+| `springbootai.langchain` LangChain 模块 | 2.3.10 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -366,7 +368,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -401,7 +403,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -905,7 +907,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""

{springbootai-2.3.9 → springbootai-2.3.10}/springbootAI.egg-info/SOURCES.txt

@@ -304,6 +304,7 @@ tests/test_declarative_aop_post_authorize_recover.py
 tests/test_devtools.py
 tests/test_devtools_lifecycle_hardening.py
 tests/test_di_config_event_full.py
+tests/test_enterprise_safety_regressions.py
 tests/test_excel_module.py
 tests/test_hateoas.py
 tests/test_i18n_module.py

{springbootai-2.3.9 → springbootai-2.3.10}/springbootai/__init__.py

@@ -19,7 +19,7 @@ from .config import *
 from .utils import *
 from .main import create_app, run, SpringApplication, run_cli
 
-__version__ = "2.3.9"
+__version__ = "2.3.10"
 __author__ = "yuconggen"
 __license__ = "MIT"
 

{springbootai-2.3.9 → springbootai-2.3.10}/springbootai/ai/__init__.py

@@ -11,7 +11,7 @@ SpringBootAI AI 模块 - 对齐 Spring AI 的 ChatClient/Advisor/ETL 抽象，
 - vectorstore:  VectorStore 抽象 + SimpleInMemoryVectorStore
 - etl:          DocumentReader / TextSplitter（TokenTextSplitter / CharacterTextSplitter）
 - tools:        ToolRegistry 函数调用注册表
-- autoconfig:   从 application.yml 的 springbootai.ai.* 自动装配 Bean
+- autoconfig:   从 application.yml 的 spring.ai.* 自动装配 Bean
 """
 from springbootai.ai.core import (
     Advisor, AdvisorRequest, ChatClient, ChatClientBuilder, ChatModel,
@@ -57,7 +57,7 @@ from springbootai.ai.observability import AIMetrics, ai_metrics
 from springbootai.ai.autoconfig import AIProperties, bind_ai_config, configure_ai
 from springbootai.ai.annotation_runtime import ContentModerationError
 
-__version__ = "2.3.9"
+__version__ = "2.3.10"
 
 __all__ = [
     # core

{springbootai-2.3.9 → springbootai-2.3.10}/springbootai/ai/annotations.py

@@ -22,7 +22,7 @@ class AiClient(SpringAnnotation):
     框架启动时为该类注入对应的 ChatClient（按 provider 配置自动创建）。
 
     参数：
-        provider: 模型提供者，如 openai/ollama；为空时读取 springbootai.ai.default-provider
+        provider: 模型提供者，如 openai/ollama；为空时读取 spring.ai.default-provider
         model: 具体模型名覆盖（如 gpt-4o-mini / llama3）
     """
     _annotation_type = "ai"

{springbootai-2.3.9 → springbootai-2.3.10}/springbootai/ai/autoconfig.py

@@ -1,10 +1,10 @@
 """
-SpringBootAI AI 自动配置 - 读取 application.yml 的 springbootai.ai.* 配置，
+SpringBootAI AI 自动配置 - 读取 application.yml 的 spring.ai.* 配置，
 按 provider 创建 ChatModel/EmbeddingModel/ChatClient/VectorStore/Memory Bean，
 注册到 BeanRegistry，实现 Spring 风格的统一配置与依赖注入。
 
 配置读取采用"混合方式"：
-- 类型化 AIProperties dataclass 绑定 springbootai.ai.* 子树（替换裸 dict.get + 手动 int/float 转换）
+- 类型化 AIProperties dataclass 绑定 spring.ai.* 子树（兼容旧版 springbootai.ai.*）
 - 复用 config_loader 的 ${ENV:default} 占位符解析（env 一致覆盖由 config_loader 保证）
 - 额外一层 metadata env 覆盖作为安全网：yml 写死字面值时，声明的 env 名仍可覆盖
 - 优先级：环境变量 > application.yml > dataclass 默认值（对齐框架约定）
@@ -175,7 +175,7 @@ class CircuitBreakerProps:
 
 @dataclass
 class AIProperties:
-    """springbootai.ai.* 的类型化配置根。"""
+    """spring.ai.* 的类型化配置根（兼容旧版 springbootai.ai.*）。"""
     default_provider: str = field(default="openai", metadata={"env": "AI_PROVIDER"})
     max_retries: int = field(default=3, metadata={"env": "AI_MAX_RETRIES"})
     retry_delay_ms: int = field(default=500, metadata={"env": "AI_RETRY_DELAY_MS"})
@@ -308,9 +308,9 @@ def _build_chat_model(props: AIProperties, redis_client=None) -> ChatModel:
         if not props.openai.api_key:
             if not _ai_allow_fake():
                 raise ValueError(
-                    "AI_ALLOW_FAKE=false 但 springbootai.ai.openai.api-key 未配置。"
+                    "AI_ALLOW_FAKE=false 但 spring.ai.openai.api-key 未配置。"
                     " 请设置 OPENAI_API_KEY 环境变量或 application.yml 的 api-key。")
-            logger.warning("springbootai.ai.openai.api-key 未配置，降级 FakeChatModel")
+            logger.warning("spring.ai.openai.api-key 未配置，降级 FakeChatModel")
             return _build_fake_chat_model(props)
         return OpenAIChatModel(
             api_key=props.openai.api_key,
@@ -353,9 +353,9 @@ def _build_chat_model(props: AIProperties, redis_client=None) -> ChatModel:
         if not cfg.api_key:
             if not _ai_allow_fake():
                 raise ValueError(
-                    f"AI_ALLOW_FAKE=false 但 springbootai.ai.{provider}.api-key 未配置。"
+                    f"AI_ALLOW_FAKE=false 但 spring.ai.{provider}.api-key 未配置。"
                     f" 请设置 {provider.upper()}_API_KEY 环境变量。")
-            logger.warning("springbootai.ai.%s.api-key 未配置，降级 FakeChatModel", provider)
+            logger.warning("spring.ai.%s.api-key 未配置，降级 FakeChatModel", provider)
             return _build_fake_chat_model(props)
         return OpenAICompatChatModel(
             provider=pname, api_key=cfg.api_key, base_url=cfg.base_url,
@@ -372,7 +372,7 @@ def _build_chat_model(props: AIProperties, redis_client=None) -> ChatModel:
     if not _ai_allow_fake():
         raise ValueError(
             f"AI_ALLOW_FAKE=false 但未知 provider: {provider}。"
-            " 请检查 application.yml 的 springbootai.ai.default-provider 配置。")
+            " 请检查 application.yml 的 spring.ai.default-provider 配置。")
     return _build_fake_chat_model(props, prefix="AI:")
 
 
@@ -430,7 +430,7 @@ def _build_embedding_model(props: AIProperties, redis_client=None):
     if not _ai_allow_fake():
         raise ValueError(
             "AI_ALLOW_FAKE=false 但未知 Embedding provider。"
-            " 请检查 application.yml 的 springbootai.ai.default-provider 配置。")
+            " 请检查 application.yml 的 spring.ai.default-provider 配置。")
     return FakeEmbeddingModel(dim=16)
 
 
@@ -535,7 +535,7 @@ def configure_ai(registry: Optional[BeanRegistry] = None,
     registry.register("aiVectorStore", vector_store)
     beans["aiVectorStore"] = vector_store
 
-    # 4. ChatClient（注入默认 Memory Advisor — 可通过 springbootai.ai.memory.auto-advisor=false 禁用）
+    # 4. ChatClient（注入默认 Memory Advisor — 可通过 spring.ai.memory.auto-advisor=false 禁用）
     memory = _build_memory(props, redis_client)
     registry.register("aiChatMemory", memory)
     beans["aiChatMemory"] = memory

{springbootai-2.3.9 → springbootai-2.3.10}/springbootai/annotations/data.py

@@ -21,7 +21,7 @@
 - Java 通过 @RepositoryRestResource 注解标记 Repository
 - Python 版本提供同名注解，配合 @EnableDataRest 使用
 """
-from typing import Optional, Type
+from typing import List, Optional, Type
 
 from .core import SpringAnnotation
 
@@ -37,6 +37,10 @@ class RepositoryRestResource(SpringAnnotation):
         entity_class: 实体类（必须指定，用于创建实例和文档）
         id_type: ID 字段类型（默认 int）
         exported: 是否暴露为 REST（默认 True，设为 False 可临时禁用）
+        secured: 是否要求 Bearer Token（默认 True）
+        required_scopes: OAuth2 scope 要求
+        read_fields: 响应字段白名单
+        write_fields: 请求字段白名单
 
     使用示例::
 
@@ -58,10 +62,18 @@ class RepositoryRestResource(SpringAnnotation):
         entity_class: Optional[Type] = None,
         id_type: type = int,
         exported: bool = True,
+        secured: bool = True,
+        required_scopes: Optional[List[str]] = None,
+        read_fields: Optional[List[str]] = None,
+        write_fields: Optional[List[str]] = None,
     ):
         super().__init__(
             path=path,
             entity_class=entity_class,
             id_type=id_type,
             exported=exported,
+            secured=secured,
+            required_scopes=list(required_scopes or []),
+            read_fields=list(read_fields) if read_fields else None,
+            write_fields=list(write_fields) if write_fields else None,
         )