Skip to content

PastureStack distributed cache runtime 5.7.3

Choose a tag to compare

View all tags
@chen21019 chen21019 released this 23 Aug 17:32
· 10 commits to main since this release
v5.7.3-pasturestack.1
f51a7c2

PastureStack distributed-cache-runtime 5.7.3 發布證據

結果

  • 發布版本：5.7.3
  • 發布標籤：v5.7.3-pasturestack.1
  • 來源提交：f51a7c219723b31a0690cee650dc2d021f441222
  • 來源樹：ad14310f8d92309912c9902bbb53456245996c06
  • 父提交：44a438ed136d07bd68c8786fd11a73a60f31840a
  • 作者：chen21019 <chen21019@gmail.com>
  • 發布結果：正式 JAR、OCI archive、GHCR image、CycloneDX SBOM 與掃描證據均已產生；GitHub 必要閘門通過。
  • 此 image 是只含 JAR／授權文件的 scratch 成品載體，Cmd 與 Entrypoint 均為空；它不是 8080 server，因此沒有替換既有 8080 工作負載。

版本與 EOL 收斂

項目 最終值 驗證
JDK Temurin 25.0.4+7，來源 image 固定 digest sha256:534968c051301957beae735e7ba1db54d99ddecf08746d3b9d4f318cc132dbc3 正式 image 重建通過
Maven 3.9.14 wrapper checksum gate 通過
Elasticsearch Java Client 9.5.1 真實 Elasticsearch Testcontainers 測試通過
Debezium 3.6.1.Final MySQL 與 PostgreSQL CDC Testcontainers 測試通過
Hadoop 3.5.0 SqlHadoopTest 14/14 通過
Spring Framework 6.2.19／7.0.8；Boot 3.5.15／4.1.0 來源清冊與正式建置通過
Jetty 發布依賴圖 0 Kafka Schema Registry 改用 MockSchemaRegistry；Hadoop 測試不再啟動 Jetty server graph
Python runtime protobuf 7.36.0、grpcio 1.83.0、typing_extensions 4.16.0 6/6 runtime 測試、SBOM 與 Trivy 通過

正式成品

成品 Bytes SHA-256／Registry digest
hazelcast-5.7.3.jar 23,802,527 e1d10fad54d22eb3c6937afe5c237ac4e3bf0015389769e7d3fd28376bd1489b
JAR 內嵌 checksum 86 checksum 值與 JAR 完全一致；檔案 SHA-256 124bdfa8f1fc1a208cdb75924320e6c2f51d821e8181e07ba546d84025cbdf5f
distributed-cache-runtime-5.7.3-pasturestack.1.oci.tar 22,128,640 a7103645409dcafb1af242ca8d62ed0e1a557ba6bf5b8a61e2e05e31ac01f7e4
GHCR 5.7.3-pasturestack.1 3 layers sha256:5716a2218e2847cefa2a05c7f574f19c548eccfce2ab23b5e38d6c8ef39d7701
GHCR 5.7.3 3 layers sha256:5716a2218e2847cefa2a05c7f574f19c548eccfce2ab23b5e38d6c8ef39d7701
OCI config 2,415 bytes sha256:5a0e017656ccb5ca8f1e06fa38827f8241fa099ab7dcd399c3719857592fbca5

匿名 GHCR manifest 與 config 回讀皆為 HTTP 200、Linux/amd64、revision=f51a7c219723b31a0690cee650dc2d021f441222、Cmd=null、Entrypoint=null。套件 visibility 為 public。

SBOM 與漏洞掃描

掃描器為固定 digest 的 Trivy 0.74.0：sha256:62b1e65e8869bc4b4c6aa4fa2b21595256c7c2f6018a9d9ad61caf87187c1969。掃描使用已下載的 vulnerability DB 與 Java DB，執行時關閉網路與 DB 更新。

範圍 套件 CycloneDX dependencies Critical High Medium Low Unknown
最終 JAR 23 1.7 24 0 0 0 0 0
最終 OCI image 23 1.7 24 0 0 0 0 0
Python runtime 3 1.7 4 0 0 0 0 0

三份 CycloneDX 都有 serialNumber 與完整根節點／相依關係。GitHub Security release gate 另以 Maven effective POM 驗證正式 runtime graph：15 個元件、16 筆 dependencies、missing=0、unexpected=0、dangling=0。

GitHub 閘門

閘門 Run 結果
Security release gate https://github.com/PastureStack/distributed-cache-runtime/actions/runs/32653170915 成功；385/385 測試、來源 secrets=0、來源／JAR／依賴 Critical+High=0
Default CodeQL https://github.com/PastureStack/distributed-cache-runtime/actions/runs/32653170809 成功；Python、Java/Kotlin、C/C++、Actions 全部完成
CodeQL verification https://github.com/PastureStack/distributed-cache-runtime/actions/runs/32653170825 成功；66 筆 Java SARIF 結果中 security score >= 7 為 0
Automatic Dependency Submission https://github.com/PastureStack/distributed-cache-runtime/actions/runs/32653170861 成功
Dependabot Updates https://github.com/PastureStack/distributed-cache-runtime/actions/runs/32652507370 成功；涵蓋實際依賴修改提交 44a438ed...；後續 f51a7c2... 只修改 CI DB preload
  • Dependabot open alerts：0。
  • CodeQL open Critical／High：0。
  • CodeQL py/path-injection hazelcast#228 已以 no_change 結果判定為 false positive：唯一 caller 使用固定 evidence 路徑、job 權限只有 contents: read，且 caller 已能執行 checkout 內容，不存在跨使用者或高權限檔案服務邊界。有效 evidence 輸入成功，外部非 XML 路徑在寫入 summary 前失敗。
  • 目前仍有 70 筆 Medium CodeQL baseline：39 筆由 CodeQL 分類為 test；31 筆為上游 production／未分類候選（Actions injection 2、temp-file disclosure 2、log injection 16、relative-path command 2、unreleased lock 9）。本次 security diff scan 對修改面回報 0 個新 reportable finding；這些不是 CVE／EOL，也不是這次升級新增的 Critical／High release blocker，仍保留在 GitHub 不隱藏。

重大相容性驗證

  • Elasticsearch ElasticClientsTest：1/1 通過。
  • MySQL CDC MySqlCdcIntegrationTest#customers：1/1 通過。
  • PostgreSQL CDC PostgresCdcIntegrationTest#customers：1/1 通過。
  • Kafka／Avro SqlAvroSchemaEvolutionTest：13 個案例，12 通過、1 個既有條件式 skip。
  • Hadoop SqlHadoopTest：14/14 通過。
  • Python runtime：6/6 通過。
  • Terraform 1.15.9 固定 image digest sha256:b88da40ffe55e3285b9246333814cba9fc39a2743b8fb8c64483063b0c3d6994；AWS、Azure、GCP 各自 fmt -check、init -backend=false、validate 通過。沒有進行實際 provisioning，因本次沒有部署這些模板。

私有知識庫

  • distributed-cache-runtime 快照提交已更新為 f51a7c219723b31a0690cee650dc2d021f441222。
  • SQLite 68/68 檢查通過；stale=0；無 WAL、SHM 或 tmp 殘留。
  • SQLite SHA-256：81d1fc37729a0ce91b7dcec03dcabd84949ecb3a79a4159d38f0cbc88d529fa7。
  • scoped inventory 的未初始化 CycloneDX 變數已修正；Build-VersionInventory.ps1 SHA-256：df68e2e27d4c31246d4f6d0a4da6c2da4882ed95e866d398aeb479d25fcec256。

發布位置

Assets 16
Loading