springbootAI 2.3.9__tar.gz → 2.3.11__tar.gz

{springbootai-2.3.9 → springbootai-2.3.11}/CHANGELOG.md

@@ -1,5 +1,24 @@
 # Changelog
 
+## [2.3.11] - 2026-09-01
+
+- 修复 PyMyBatis 访问控制仅覆盖查询、行级条件直接拼接及 SQL 尾部条件位置错误，写操作和字段权限现在失败关闭，动态租户值必须使用绑定参数。
+- 修复事务提交前监听器异常被吞掉及 `REQUIRES_NEW`/`NOT_SUPPORTED` 同步上下文错误，提交否决会触发回滚并恢复外层上下文。
+- 修复 Spring Cloud Bus RabbitMQ API 调用错误和缺失消费者，增加 Broker 确认、广播消费者、去重、消息大小限制及明确的失败状态。
+- 加固 MCP/AI 工具边界：限制 HTTP 响应、队列、集合和 Schema 深度，拒绝压缩炸弹及高风险正则表达式。
+- 修复 Prometheus Summary 创建失败、Tracer 已结束 Span 无界增长以及 Actuator/启动日志暴露原始异常的问题。
+- 修复 CI 在 AI 测试切片后提前执行总覆盖率门槛的问题，覆盖率阈值现在只在全部测试切片完成后统一校验。
+- 修复 LangChain 完整演示未声明文档加载根目录的问题，并为临时文件自动清理及 Windows 重定向控制台增加 UTF-8 输出兼容。
+
+## [2.3.10] - 2026-08-29
+
+- 修复 AI 代理上下游消息被 SQL 注入检测误报：`#{...}` 绑定值始终按数据处理，不再扫描消息内容；`${...}` 原始替换仍默认拒绝，只有配置允许且值完整匹配严格白名单时才能使用。
+- 加固企业级 AOP 注解：完善限流、熔断、幂等和分布式锁的共享后端、失败关闭与异步语义，并补充企业安全回归测试。
+- 加固 OAuth2、CSRF 与 Data REST：完善 JWKS/issuer/audience/algorithm 校验、签名 CSRF Token、默认鉴权以及读写字段白名单。
+- 完善受限 Seata AT 补偿模式：限制可解析 SQL 子集，使用绑定参数采集快照，原子写入 undo_log，增加冲突检测、自动安装代理和恢复线程生命周期管理；该模式仍不提供官方 TC 全局锁或跨服务强一致性。
+- 审计并修正文档：统一当前版本号，修复 Starter 损坏的依赖示例、无效 Spring 官方链接、不可运行的 ChatClient 示例、过期改进记录、配置元数据偏差、Sphinx 包名及乱码注释。
+- README 开头增加对阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司支持的致谢，不声明其使用或官方背书。
+
 ## [2.3.9] - 2026-08-28
 
 - 加固 OpenAI 兼容接口与 Ollama 的同步/异步流式协议：校验终止帧、错误信封和畸形响应，限制事件与响应大小，并完善超时、有限重试、重定向拒绝及 SDK 重试边界。

{springbootai-2.3.9/springbootAI.egg-info → springbootai-2.3.11}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: springbootAI
-Version: 2.3.9
+Version: 2.3.11
 Summary: Spring-style Python framework with Web, ORM, Cloud and AI integrations
 Author-email: YuConggen <1516933915@qq.com>
 License-Expression: MIT
@@ -19,7 +19,7 @@ Classifier: Programming Language :: Python :: 3.12
 Classifier: Topic :: Software Development :: Libraries :: Application Frameworks
 Classifier: Topic :: Database
 Classifier: Topic :: Internet :: WWW/HTTP :: Dynamic Content
-Requires-Python: >=3.10
+Requires-Python: <3.13,>=3.10
 Description-Content-Type: text/markdown
 License-File: LICENSE
 Requires-Dist: fastapi==0.141.1
@@ -120,6 +120,7 @@ Requires-Dist: psutil==6.1.1; extra == "all"
 Provides-Extra: dev
 Requires-Dist: pytest==9.1.1; extra == "dev"
 Requires-Dist: pytest-cov==7.1.0; extra == "dev"
+Requires-Dist: mypy==1.18.2; extra == "dev"
 Requires-Dist: redis==8.1.0; extra == "dev"
 Requires-Dist: sqlglot==27.28.1; extra == "dev"
 Provides-Extra: full
@@ -172,6 +173,8 @@ Dynamic: license-file
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -216,7 +219,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.9`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.11`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -347,10 +350,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.9 |
-| `springbootai.orm.pymybatis` | 2.3.9 |
-| `springbootai.ai` AI 模块 | 2.3.9 |
-| `springbootai.langchain` LangChain 模块 | 2.3.9 |
+| `springbootai` 框架 API | 2.3.11 |
+| `springbootai.orm.pymybatis` | 2.3.11 |
+| `springbootai.ai` AI 模块 | 2.3.11 |
+| `springbootai.langchain` LangChain 模块 | 2.3.11 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -366,7 +369,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -401,7 +404,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -905,7 +908,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""

{springbootai-2.3.9 → springbootai-2.3.11}/README.md

@@ -10,6 +10,8 @@
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -54,7 +56,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.9`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.11`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -185,10 +187,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.9 |
-| `springbootai.orm.pymybatis` | 2.3.9 |
-| `springbootai.ai` AI 模块 | 2.3.9 |
-| `springbootai.langchain` LangChain 模块 | 2.3.9 |
+| `springbootai` 框架 API | 2.3.11 |
+| `springbootai.orm.pymybatis` | 2.3.11 |
+| `springbootai.ai` AI 模块 | 2.3.11 |
+| `springbootai.langchain` LangChain 模块 | 2.3.11 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -204,7 +206,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -239,7 +241,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -743,7 +745,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""

{springbootai-2.3.9 → springbootai-2.3.11}/pyproject.toml

@@ -3,16 +3,16 @@ requires = ["setuptools>=77", "wheel>=0.37"]
 build-backend = "setuptools.build_meta"
 
 # ========================================
-# SpringBootAI 椤圭洰鍏冩暟鎹笌渚濊禆澹版槑锛圥EP 621锛?
-# 鏈枃浠舵槸渚濊禆鐨勫崟涓€鐪熷疄鏉ユ簮锛岀被浼?Spring Boot 鐨?pom.xml
-# 鐗堟湰閿佸畾绛栫暐锛氭墍鏈夌洿鎺ヤ緷璧栦娇鐢?== 绮剧‘閿佸畾
-# 瀹為獙鎬?HTTP 琛ュ伩鍗忚皟鍣ㄤ笉鎻愪緵 Seata AT 璇箟锛涚敓浜у垎甯冨紡浜嬪姟闇€瑕佺湡瀹炲崗璋冨櫒
+# SpringBootAI 项目元数据与依赖声明（PEP 621）
+# 本文件是依赖的唯一真实来源，类似 Spring Boot 的 pom.xml。
+# 核心依赖使用精确版本；LangChain partner 包使用带上限的兼容范围。
+# 内置 HTTP/AT 模式是受限补偿机制；生产分布式事务需要真实协调器和业务幂等。
 # ========================================
 
 [project]
 # Distribution name: springbootAI (pip install springbootAI); import package: springbootai.
 name = "springbootAI"
-version = "2.3.9"
+version = "2.3.11"
 description = "Spring-style Python framework with Web, ORM, Cloud and AI integrations"
 readme = "README.md"
 license = "MIT"
@@ -32,11 +32,11 @@ classifiers = [
     "Topic :: Database",
     "Topic :: Internet :: WWW/HTTP :: Dynamic Content",
 ]
-requires-python = ">=3.10"
+requires-python = ">=3.10,<3.13"
 
 # ========================================
-# 鏍稿績渚濊禆 - 绫讳技 Spring Boot Starter Web/Core
-# 瀹夎锛歱ip install springbootAI
+# 核心依赖——类似 Spring Boot Starter Web/Core
+# 安装：pip install springbootAI
 # ========================================
 dependencies = [
     "fastapi==0.141.1",
@@ -56,50 +56,50 @@ dependencies = [
 
 [project.optional-dependencies]
 # ========================================
-# 鏁版嵁搴撻┍鍔?- 绫讳技 Spring Boot Starter JDBC/Data JPA
+# 数据库驱动——类似 Spring Boot Starter JDBC/Data JPA
 # ========================================
 mysql = ["PyMySQL==1.2.0"]
 postgresql = ["psycopg2-binary==2.9.12"]
 sqlalchemy = ["sqlalchemy==2.0.40"]
 
 # ========================================
-# Redis - 绫讳技 Spring Boot Starter Data Redis
+# Redis——类似 Spring Boot Starter Data Redis
 # ========================================
 redis = ["redis==8.1.0"]
 
 # ========================================
-# 娑堟伅闃熷垪 - 绫讳技 Spring Boot Starter AMQP
+# 消息队列——类似 Spring Boot Starter AMQP
 # ========================================
 rabbitmq = ["pika==1.4.4"]
 kafka = ["kafka-python==2.0.2"]
 
 # ========================================
-# 鏈嶅姟鍙戠幇 - 绫讳技 Spring Cloud Alibaba Nacos
+# 服务发现——类似 Spring Cloud Alibaba Nacos
 # ========================================
 nacos = ["nacos-sdk-python==2.0.11"]
 
 # ========================================
-# 鐩戞帶鍜屾棩蹇?- 绫讳技 Spring Boot Actuator + Micrometer
+# 监控和日志——类似 Spring Boot Actuator + Micrometer
 # ========================================
 prometheus = ["prometheus-client==0.26.0"]
 logging = ["loguru==0.7.3"]
 
 # ========================================
-# SQL娉ㄥ叆妫€娴?
+# SQL 结构分析（可选 AST 校验）
 # ========================================
 ast = ["sqlglot==27.28.1"]
 
 # ========================================
-# Excel 娉ㄨВ椹卞姩璇诲啓 - 绫讳技 alibaba EasyExcel
-# 瀹夎锛歱ip install springbootAI[excel]
+# Excel 注解驱动读写——类似 Alibaba EasyExcel
+# 安装：pip install springbootAI[excel]
 # ========================================
 excel = ["openpyxl==3.1.5"]
 
 # ========================================
-# SpringBootAI AI 妯″潡 - 瀵归綈 Spring AI锛圕hatClient/Advisor/ETL/Tools锛?
-# 瀹夎锛歱ip install springbootAI[ai]
-# AI 妯″潡閲囩敤"鍙€変緷璧?+ 闄嶇骇"璁捐锛氭湭瀹夎浠嶅彲鐢紙闄嶇骇鍘熺敓 HTTP + FakeChatModel锛?
-# 渚濊禆娓呭崟鍚屾鑷?requirements-ai.txt锛堟墍鏈夌増鏈彿 == 宸叉祴璇曢獙璇侊級
+# SpringBootAI AI 模块——对齐 Spring AI（ChatClient/Advisor/ETL/Tools）
+# 安装：pip install springbootAI[ai]
+# 可选依赖未安装时核心包仍可导入；真实模型能力需安装对应 extra。
+# 依赖清单与 requirements-ai.txt 保持同步。
 # ========================================
 ai = [
     "langchain-openai==1.4.2",
@@ -112,10 +112,10 @@ ai = [
 ]
 
 # ========================================
-# SpringBootAI LangChain 妯″潡 - 灏佽 langchain classic 鍏ㄥ鑳藉姏 + 30+ partner 鎻愪緵鍟?
-# 瀹夎锛歱ip install springbootAI[langchain]
-# 璁捐锛歱artner 鍖呮寜闇€鍚敤锛屾湭瀹夎鐨?partner 鐢?@ConditionalOnClass/鍙嬪ソ閿欒鑷姩璺宠繃
-# 璇﹁ doc/LANGCHAIN_MODULE.md
+# SpringBootAI LangChain 模块——封装 langchain classic 与常用 partner
+# 安装：pip install springbootAI[langchain]
+# partner 包按需启用；未安装的 provider 会跳过并给出明确提示。
+# 详见 doc/LANGCHAIN_MODULE.md
 # ========================================
 langchain = [
     "langchain-openai==1.4.2",
@@ -125,13 +125,13 @@ langchain = [
     "langchain-community==0.4.2",
     "numpy==2.2.6",
     "pydantic==2.13.4",
-    # 榛樿瑁呬笂鐨勫悜閲忓簱/鏂囨。/宸ュ叿渚濊禆锛堝畨鍏細鍏ㄩ儴閿佸畾宸茬煡瀹夊叏鐗堟湰锛?
+    # 默认安装的向量库、文档和工具依赖
     "faiss-cpu>=1.7.4,<2",
     "pypdf>=4.0.0,<6",
     "beautifulsoup4>=4.12.0,<5",
     "sqlalchemy>=2.0.0,<3",
-    # partner 鎻愪緵鍟嗗寘锛堟寜闇€鍚敤锛屼笅闈㈡槸甯哥敤鍑犳锛涘叾浣欒 PARTNER_REGISTRY 鏂囨。鎸夐渶 pip install锛?
-    # 瀹夊叏锛氶攣瀹氫笂闄愮増鏈槻姝緵搴旈摼鏀诲嚮锛宲ip-audit 浼氬湪 CI 涓寔缁壂鎻?
+    # 常用 partner 包；其他 provider 见 PARTNER_REGISTRY，按需安装。
+    # 所有兼容范围均设置上限，并由 CI 持续执行依赖审计。
     "langchain-anthropic>=0.2.0,<2",
     "langchain-ollama>=0.2.0,<2",
     "langchain-chroma>=0.1.0,<2",
@@ -144,9 +144,9 @@ langchain = [
 ]
 
 # ========================================
-# SpringBootAI LangGraph 濡€虫健 - 閻欘剛鐝涢惃鍕Ц閹礁娴樼紓鏍ㄥ笓娑撳骸褰查幁銏狀槻閹笛嗩攽
-# 鐎瑰顥婇敍姝眎p install springbootAI[langgraph]
-# 濮ｅ繑顐奸崣鎴濈闁夸礁鐣鹃悧鍫熸拱閿涘奔绗?langchain-core 1.x 閺嶇绺鹃幒銉ュ經閸忕厧顔?
+# SpringBootAI LangGraph 模块——状态图、持久化检查点与工作流编排
+# 安装：pip install springbootAI[langgraph]
+# 版本与 langchain-core 1.x 兼容矩阵保持一致。
 # ========================================
 langgraph = [
     "langgraph==1.2.9",
@@ -160,8 +160,8 @@ mcp = [
 ]
 
 # ========================================
-# 缁勫悎 Starter - 绫讳技 Spring Boot Starter Web/Cloud/All
-# 瀹夎锛歱ip install springbootAI[web] / springbootAI[cloud] / springbootAI[all]
+# 组合 Starter——类似 Spring Boot Starter Web/Cloud/All
+# 安装：pip install springbootAI[web] / springbootAI[cloud] / springbootAI[all]
 # ========================================
 web = [
     "fastapi==0.141.1",
@@ -194,38 +194,39 @@ all = [
 ]
 
 # ========================================
-# 寮€鍙戜緷璧?
+# 开发依赖
 # ========================================
 dev = [
     "pytest==9.1.1",
     "pytest-cov==7.1.0",
+    "mypy==1.18.2",
     "redis==8.1.0",
     "sqlglot==27.28.1",
 ]
 
 # ========================================
-# 鍏ㄩ儴渚濊禆锛堜竴閿畨瑁咃級
+# 全部依赖（一键安装）
 # ========================================
 full = [
-    # 鏁版嵁搴撻┍鍔?
+    # 数据库驱动
     "PyMySQL==1.2.0",
     "psycopg2-binary==2.9.12",
     "sqlalchemy==2.0.40",
-    # 缂撳瓨 / 娑堟伅 / 鏈嶅姟鍙戠幇
+    # 缓存 / 消息 / 服务发现
     "redis==8.1.0",
     "pika==1.4.4",
     "nacos-sdk-python==2.0.11",
-    # 鐩戞帶 / 鏃ュ織 / 瀹夊叏
+    # 监控 / 日志 / 安全
     "prometheus-client==0.26.0",
     "loguru==0.7.3",
     "sqlglot==27.28.1",
     "defusedxml==0.7.1",
-    # HTTP 瀹㈡埛绔?
+    # HTTP 客户端
     "requests==2.34.2",
     "httpx==0.28.1",
     # Excel
     "openpyxl==3.1.5",
-    # AI 妯″潡锛堝榻?springbootAI[ai]锛?
+    # AI 模块（对齐 springbootAI[ai]）
     "langchain-openai==1.4.2",
     "langchain-core==1.5.4",
     "langchain-classic==1.0.8",
@@ -233,12 +234,12 @@ full = [
     "langchain-community==0.4.2",
     "numpy==2.2.6",
     "pydantic==2.13.4",
-    # LangChain 妯″潡澧炲己锛堝榻?springbootAI[langchain]锛?
+    # LangChain 模块增强（对齐 springbootAI[langchain]）
     "faiss-cpu>=1.7.4,<2",
     "pypdf>=4.0.0,<6",
     "beautifulsoup4>=4.12.0,<5",
     "langchain-experimental>=0.3.0,<2",
-    # partner 鎻愪緵鍟嗗寘锛堟寜闇€鍚敤锛涘彲閫?partner 鏈湪姝ゅ垪鍑猴紝pip install 瀵瑰簲鍖呭嵆鍙級
+    # 常用 partner 包；其他 provider 可按需安装对应包。
     "langchain-anthropic>=0.2.0,<2",
     "langchain-ollama>=0.2.0,<2",
     "langchain-chroma>=0.1.0,<2",
@@ -258,11 +259,9 @@ full = [
 pythonpath = [".", "examples"]
 testpaths = ["tests"]
 filterwarnings = [
-    # 闈欓粯 langchain_classic 寮冪敤鍛婅鍜?community sunset 鍛婅
-    # 鍘熷洜锛氭湰椤圭洰鏈夋剰閿佸畾 langchain classic (1.x) API锛岃繖浜涙槸棰勬湡鍐呯殑妗嗘灦绾у憡璀?
-    # 娉ㄦ剰锛歀angChainDeprecationWarning 鏄?DeprecationWarning 瀛愮被锛?
-    #      pytest 鐨?default::DeprecationWarning 浼氳鐩?simplefilter锛?
-    #      鍥犳蹇呴』鍦ㄦ閰嶇疆涓槑纭拷鐣ャ€?
+    # 静默 langchain_classic 弃用告警和 community sunset 告警。
+    # 项目当前有意兼容 classic 1.x API，这些属于已知的框架级告警。
+    # LangChainDeprecationWarning 是 DeprecationWarning 子类，因此在这里精确过滤。
     "ignore:.*LLMChain.*:DeprecationWarning",
     "ignore:.*ConversationChain.*:DeprecationWarning",
     "ignore:.*ConversationBufferMemory.*:DeprecationWarning",
@@ -280,6 +279,43 @@ markers = [
     "seata_integration: requires a compatible Seata SDK and real Seata Server",
 ]
 
+[tool.coverage.run]
+branch = true
+source = ["springbootai"]
+
+[tool.coverage.report]
+fail_under = 68
+show_missing = true
+
+[tool.mypy]
+python_version = "3.10"
+files = [
+    "springbootai/ai/annotation_runtime.py",
+    "springbootai/ai/advisors.py",
+    "springbootai/ai/vectorstore.py",
+    "springbootai/cloud/gateway.py",
+    "springbootai/websocket/router.py",
+    "springbootai/messaging/kafka.py",
+    "springbootai/messaging/rabbitmq.py",
+    "springbootai/data/repository.py",
+    "springbootai/retry/retry_decorator.py",
+    "springbootai/ai/tools.py",
+    "springbootai/cloud/bus.py",
+    "springbootai/cloud/tracer.py",
+    "springbootai/mcp/client.py",
+    "springbootai/mcp/config.py",
+    "springbootai/monitoring/prometheus.py",
+    "springbootai/orm/pymybatis/core/sql_session.py",
+    "springbootai/orm/pymybatis/security/access_control.py",
+    "springbootai/tx/synchronization.py",
+]
+ignore_missing_imports = true
+follow_imports = "skip"
+allow_untyped_defs = true
+allow_incomplete_defs = true
+check_untyped_defs = true
+show_error_codes = true
+
 [project.urls]
 Homepage = "https://github.com/YUCONGGEN/springbootAI"
 Repository = "https://github.com/YUCONGGEN/springbootAI.git"
@@ -289,8 +325,8 @@ Issues = "https://github.com/YUCONGGEN/springbootAI/issues"
 
 [project.scripts]
 springbootai = "springbootai.main:run_cli"
-# 椤圭洰鑴氭墜鏋跺伐鍏凤紙绫讳技 Spring Initializr锛夈€傜湡瀹炵粓绔粯璁や腑鏂囬棶绛旓紱
-# CI/鑴氭湰璇锋樉寮忎娇鐢細springbootai-init my-project --modules web,orm --non-interactive
+# 项目脚手架工具（类似 Spring Initializr）。真实终端默认使用中文问答；
+# CI/脚本请显式使用：springbootai-init my-project --modules web,orm --non-interactive
 springbootai-init = "springbootai.cli.scaffold:main"
 
 [tool.setuptools.packages.find]
@@ -298,4 +334,4 @@ include = ["springbootai*"]
 namespaces = false
 
 [tool.setuptools.package-data]
-springbootai = ["*.py", "**/*.py", "**/*.xml", "**/*.yml", "**/*.yaml"]
+springbootai = ["*.py", "py.typed", "**/*.py", "**/*.xml", "**/*.yml", "**/*.yaml"]

springbootai-2.3.11/requirements-ai.txt

@@ -0,0 +1,44 @@
+# ========================================
+# SpringBootAI optional AI/LangChain dependencies (exact versions)
+# ========================================
+# The AI module uses optional dependencies with a built-in fallback:
+#   - Without this file, native HTTP providers and FakeChatModel remain usable.
+#   - Installing it enables LangChain adapters detected by ai/providers.py.
+#
+# Install examples:
+#   pip install -r requirements-ai.txt
+#   pip install langchain-openai==1.4.2
+#
+# Recommended Python: 3.10+ (CI covers 3.10, 3.11 and 3.12).
+# Every pinned version is covered by tests and dependency auditing.
+# Keep this file ASCII-only: pip-audit may use the Windows system encoding.
+# ========================================
+
+# LangChain core (BaseChatModel, Embeddings and Runnable APIs).
+langchain-core==1.5.4
+
+# Classic APIs including LLMChain, ConversationChain and initialize_agent.
+langchain-classic==1.0.8
+
+# OpenAI-compatible providers (OpenAI, Azure, DeepSeek and Moonshot).
+langchain-openai==1.4.2
+
+# RecursiveCharacterTextSplitter and CharacterTextSplitter.
+langchain-text-splitters==1.1.2
+
+# Community integrations including FAISS, Chroma, DuckDuckGo and Wikipedia.
+langchain-community==0.4.2
+
+# Vector similarity calculations; 2.2.6 retains Python 3.10 compatibility.
+numpy==2.2.6
+
+# Pydantic v2 for validation and structured output parsing.
+pydantic==2.13.4
+
+# ========================================
+# Additional optional packages (install only when needed)
+# ========================================
+
+# Vector database: faiss-cpu
+# PDF document loading: pypdf
+# HTML parsing: beautifulsoup4

{springbootai-2.3.9 → springbootai-2.3.11}/requirements.txt

@@ -55,9 +55,4 @@ pydantic==2.13.4
 # 测试依赖
 pytest==9.1.1
 pytest-cov==7.1.0
-openpyxl==3.1.5
-
-bcrypt
-springbootai
-springbootai
-springbootai
+openpyxl==3.1.5

{springbootai-2.3.9 → springbootai-2.3.11/springbootAI.egg-info}/PKG-INFO

@@ -1,6 +1,6 @@
 Metadata-Version: 2.4
 Name: springbootAI
-Version: 2.3.9
+Version: 2.3.11
 Summary: Spring-style Python framework with Web, ORM, Cloud and AI integrations
 Author-email: YuConggen <1516933915@qq.com>
 License-Expression: MIT
@@ -19,7 +19,7 @@ Classifier: Programming Language :: Python :: 3.12
 Classifier: Topic :: Software Development :: Libraries :: Application Frameworks
 Classifier: Topic :: Database
 Classifier: Topic :: Internet :: WWW/HTTP :: Dynamic Content
-Requires-Python: >=3.10
+Requires-Python: <3.13,>=3.10
 Description-Content-Type: text/markdown
 License-File: LICENSE
 Requires-Dist: fastapi==0.141.1
@@ -120,6 +120,7 @@ Requires-Dist: psutil==6.1.1; extra == "all"
 Provides-Extra: dev
 Requires-Dist: pytest==9.1.1; extra == "dev"
 Requires-Dist: pytest-cov==7.1.0; extra == "dev"
+Requires-Dist: mypy==1.18.2; extra == "dev"
 Requires-Dist: redis==8.1.0; extra == "dev"
 Requires-Dist: sqlglot==27.28.1; extra == "dev"
 Provides-Extra: full
@@ -172,6 +173,8 @@ Dynamic: license-file
 [![Security](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml/badge.svg?branch=master)](https://github.com/YUCONGGEN/springbootAI/actions/workflows/security.yml)
 [![License](https://img.shields.io/pypi/l/springbootAI)](https://github.com/YUCONGGEN/springbootAI/blob/master/LICENSE)
 
+> 感谢阿里、华为、讯飞、心之声、字节、OpenAI、DeepSeek 等公司的支持。
+
 ## SpringBootAI 考试认证与证书
 
 SpringBootAI 已提供配套的在线考试认证平台，学习者、团队成员和项目使用方可以通过认证考试检验自己对框架核心能力的掌握情况，并在通过考试后获得对应证书。
@@ -216,7 +219,7 @@ SpringBootAI 是一个采用 Spring 风格注解和分层结构的 Python 应用
 | AI 与编排 | 模型调用、Tools、RAG、Chain、状态图、MCP client/server | LangChain / LangGraph / 官方 MCP SDK |
 | 生产治理 | 健康检查、Prometheus、限流熔断、追踪、Swagger | prometheus-client / OpenTelemetry / OpenAPI |
 
-当前版本是 `2.3.9`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 模式通过 ORM 拦截器自动生成 undo_log 实现自动回滚。
+当前版本是 `2.3.11`；支持 Python 3.10、3.11 和 3.12，许可证为 MIT。项目仍标记为 Beta。用于公网高并发、合规敏感或支付/订单/库存等核心系统前，必须完成目标数据库、流量模型、故障恢复和安全基线验证。内嵌 Gateway 适合内部路由，不替代公网 Nginx/Kong/WAF；Seata `distributed` 对接官方 TC + TCC 回调；`at` 是无 TC 全局锁的单进程受限补偿模式，不应当作跨服务强一致方案。
 
 [新手指南](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/BEGINNER_GUIDE.md) | [全部文档](https://github.com/YUCONGGEN/springbootAI/tree/master/doc) | [变更日志](https://github.com/YUCONGGEN/springbootAI/blob/master/CHANGELOG.md) | [安全报告](https://github.com/YUCONGGEN/springbootAI/blob/master/SECURITY.md) | [发布检查](https://github.com/YUCONGGEN/springbootAI/blob/master/doc/RELEASE_CHECKLIST.md)
 
@@ -347,10 +350,10 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 
 | 组件 | 当前版本 |
 |------|----------|
-| `springbootai` 框架 API | 2.3.9 |
-| `springbootai.orm.pymybatis` | 2.3.9 |
-| `springbootai.ai` AI 模块 | 2.3.9 |
-| `springbootai.langchain` LangChain 模块 | 2.3.9 |
+| `springbootai` 框架 API | 2.3.11 |
+| `springbootai.orm.pymybatis` | 2.3.11 |
+| `springbootai.ai` AI 模块 | 2.3.11 |
+| `springbootai.langchain` LangChain 模块 | 2.3.11 |
 | Python | 3.10+ |
 
 ### 1.4 适合什么场景
@@ -366,7 +369,7 @@ SpringBootAI 是一个 **Python Web 框架**。它把 Java Spring Boot 的"注
 - `@Transactional` 支持七种 Spring 传播模式；`REQUIRES_NEW` 和 `NOT_SUPPORTED` 需要连接池有额外可用连接。
 - Profile 会筛选 `@Profile` Bean，并深度合并同目录的 `application-{profile}.yml`。
 - Nacos、RabbitMQ、Prometheus 依赖外部服务；Sentinel 限流熔断和 OpenTelemetry 追踪可内嵌运行。
-- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并在回滚时反向恢复数据。
+- HTTP 事务模式是持久化补偿协调器；`distributed` 模式提供真实 Seata TC + TCC 回调；`at` 模式通过 ORM 拦截器记录 undo_log，但仅提供单进程、单数据库的受限补偿。
 - 限流、分布式锁、幂等和缓存语义依赖 Redis 等后端；核心业务必须选择 fail-closed，不能依赖进程内降级继续提供分布式语义。
 
 ### 1.6 注解使用总览
@@ -401,7 +404,7 @@ SpringBootAI 注解会先把元数据放到 `__spring_annotations__`。之后是
 | Nacos 服务发现 | ✅ 可用 | 服务注册/发现/订阅 |
 | Sentinel 限流熔断 | ✅ 可用 | 内嵌引擎，QPS 限流、异常比例熔断、热点参数限流，无需 Dashboard |
 | 分布式追踪 | ✅ 可用 | 原生 OpenTelemetry(W3C traceparent)，自动 HTTP/Feign 注入 |
-| Seata 分布式事务 | ✅ 可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 模式通过 ORM 拦截器自动记录 undo_log 并反向恢复；`http` 提供持久化补偿 |
+| Seata 分布式事务 | ✅ 有条件可用 | `distributed` 对接真实 Seata TC 执行 TCC 回调；`at` 仅为无全局锁的单进程受限补偿；`http` 提供持久化补偿 |
 | API Gateway | ✅ 可用 | 轻量 ASGI/WSGI 网关，路由转发、路径重写、过滤器链、负载均衡 |
 | Prometheus 监控 | ✅ 可用 | Counter/Gauge/Histogram 指标暴露 |
 | Feign 声明式 HTTP | ✅ 可用 | 声明式接口、Fallback 降级、自动传播 XID 和 trace 头 |
@@ -905,7 +908,7 @@ class AppService:
         self.app_name = value
 
 @Component
-@ConfigurationProperties(prefix="springbootai.datasource")
+@ConfigurationProperties(prefix="database")
 class DataSourceProperties:
     def __init__(self):
         self.url = ""

{springbootai-2.3.9 → springbootai-2.3.11}/springbootAI.egg-info/SOURCES.txt

@@ -18,6 +18,7 @@ springbootAI.egg-info/top_level.txt
 springbootai/__init__.py
 springbootai/devtools.py
 springbootai/main.py
+springbootai/py.typed
 springbootai/ai/__init__.py
 springbootai/ai/advisors.py
 springbootai/ai/annotation_runtime.py
@@ -304,7 +305,10 @@ tests/test_declarative_aop_post_authorize_recover.py
 tests/test_devtools.py
 tests/test_devtools_lifecycle_hardening.py
 tests/test_di_config_event_full.py
+tests/test_enterprise_safety_regressions.py
 tests/test_excel_module.py
+tests/test_final_enterprise_hardening.py
+tests/test_followup_enterprise_fixes.py
 tests/test_hateoas.py
 tests/test_i18n_module.py
 tests/test_io_http_logging_hardening.py
@@ -316,6 +320,7 @@ tests/test_langchain_ext.py
 tests/test_langchain_module.py
 tests/test_langgraph_comprehensive.py
 tests/test_langgraph_module.py
+tests/test_latest_enterprise_audit_fixes.py
 tests/test_logging_config.py
 tests/test_lombok_annotations.py
 tests/test_mcp_module.py
@@ -327,9 +332,11 @@ tests/test_new_features.py
 tests/test_oauth2.py
 tests/test_optional_component_timeouts.py
 tests/test_orm_pymybatis_full.py
+tests/test_post_audit_enterprise_fixes.py
 tests/test_production_readiness.py
 tests/test_pymybatis_configuration_hardening.py
 tests/test_pymybatis_contract.py
+tests/test_remaining_enterprise_hardening.py
 tests/test_request_metrics.py
 tests/test_retry.py
 tests/test_runtime_configuration_fixes.py