Apache Pulsar 版本支持与安全管理实操指南漏洞上报、支持窗口与跨版本升级顺序【免费下载链接】pulsarApache Pulsar - distributed pub-sub messaging system项目地址: https://gitcode.com/gh_mirrors/pulsar28/pulsarApache Pulsar 的安全策略和版本支持规则入口是仓库根目录的 SECURITY.md正文则放在 docs 目录的安全策略页面里。这篇文章不按条款逐条念政策而是直接回答四个运维问题漏洞公告来了先查什么、手里的版本还能不能用、跨版本升级的正确顺序、自己发现漏洞要走哪几个地址。内容基于本仓库 2.10.x 代码库版本号定义见 pom.xml当前为 2.10.6-SNAPSHOT快照型信息一律标注出处时效。漏洞公告来了先查哪三件事收到userspulsar.apache.org列表上的安全通知时别急着升级先完成三项核对。社区在漏洞确认并修复后会在这个邮件列表发布公告细节与缓解建议。运维侧的标准动作是订阅该列表它有三个用途第一时间知道已发布版本出了什么问题拿到官方推荐的升级目标和临时规避手段对哪些版本还受支持拿不准时也可以直接在这个列表里问社区求证。公告到手后按这个顺序处理对照自己的版本台账每个环境测试/预发/生产当前跑的是哪个版本、Initial Release 是哪个月判断是否还在支持窗口内——12 个月的维护承诺是关键判断线已超窗的分支连安全补丁都不会再出只能排升级先落公告里的临时缓解关特性、收紧防火墙规则再评估升级窗口两条线并行。 自己发现漏洞两个地址走通上报路径主渠道是 Apache 软件基金会的统一安全地址同时抄送 Pulsar 私有列表。主收件地址securityapache.org覆盖整个 Apache 生态的漏洞接收抄送地址privatepulsar.apache.org这是一个私有邮件列表内容不对外公开作用是在修复完成前限制传播范围同时让 Pulsar 的 PMC 更快介入。报告正文建议给全四样东西能显著加快复现与定级受影响的版本如 2.8.x、2.9.x漏洞类型与可复现步骤有 PoC 更好受影响组件broker、bookie、proxy、client 还是函数运行时实际影响评估未授权访问、数据泄露、拒绝服务等。修复并公告之前不要在 GitHub Issue 或公开邮件列表里贴细节避免 0-day 提前暴露。 你的集群是否处于默认全开放状态开箱即用的 Pulsar 不配置任何加密、认证与授权任何客户端都能用明文 Service URL 跟集群通信。生产环境必须用网络安全隔离或授权 ACL 把访问限制在可信客户端内否则等于裸奔。对照安全总览文档 site2/docs/security-overview.md 逐项核对四项TLS 传输加密含双向认证与 KeyStore 方式认证Pulsar 是可插拔设计支持 TLS 认证、Athenz、Kerberos、JWT、OAuth2 等 Provider授权 ACL认证通过后broker 以 principal 作为后续授权依据端到端加密含 Bouncy Castle 集成。连接建立时 broker 会校验认证凭据通过后连接不会反复重认证。真正负责凭据续命的是周期性检查authenticationRefreshCheckSeconds参数默认 60 秒可在 conf/broker.conf 中调整broker 按该周期检查每个连接——凭据过期就强制重新认证支持refreshAuthentication的客户端会刷新凭据不支持且过期的连接会被直接断开。配置这套机制时60 秒这个默认值要和你签发 token 的有效期对齐。⏱️ 这个版本还能用吗12 个月窗口的算法一个功能发布分支某个次版本系列如 2.5.x在首次发布后至少维护 12 个月超期后不再有任何发布——包括安全漏洞修复。算一笔账就明白了2.5.0 于 2020 年 1 月发布那么 2021 年 1 月起2.5.x 就不再被视为受维护版本。12 个月是下限不是上限部分次版本在窗口过后仍会被继续维护比如 2.7 在文档编写时还处在活跃维护状态。窗口期内安全修复回溯到旧版本的优先级最高但要清楚最新版本永远拥有最多的 bug 修复停在旧版本等于主动放弃一部分修复。版本系列首次发布至少支持到快照时状态2.9.x2021 年 11 月2022 年 11 月受支持2.8.x2021 年 6 月2022 年 6 月受支持2.7.x2020 年 11 月2021 年 11 月受支持2.6.x2020 年 6 月2021 年 6 月已结束2.5.x2020 年 1 月2021 年 1 月已结束2.4.x2019 年 7 月2020 年 7 月已结束2.3.x 以下——已结束上表是官方文档编写时刻的快照社区会随每个新版本发布刷新这张表判定前请以官方最新版安全策略页面为准拿不准的直接在userspulsar.apache.org列表问。还有一个未定项3.0.0 发布后 2.x 怎么支持尚未定论一种讨论中的方案是把 2.x 的最后一个次版本作为 LTS 延长维护但没有官方决定之前不要假设任何版本的 LTS 身份。⬆️ 跨版本升级顺序书里怎么排就别跳着走升级已有集群必须线性地穿过每个次版本从 2.8.x 到 2.10.x必须先到 2.9.x再进 2.10.x跨次版本跳跃会踩兼容性边界——Pulsar 的元数据格式、存储协议和 broker 间通信协议都在次版本间演进。集群由 ZooKeeper配置存储、bookies有状态存储节点、broker 与 proxy无状态服务组成官方升级手册在 site2/docs/administration-upgrade.md推荐的执行顺序先升级 bookies再升级 brokers、proxies最后升级客户端ZooKeeper 一般可以保持不动。每个组件都先做小范围 canary test观察无异常后再全量滚动。两个容易漏掉的细节启用了autorecovery时bookie 升级前执行bin/bookkeeper shell autorecovery -disable升级完成后执行bin/bookkeeper shell autorecovery -enable恢复bookie 建议先以只读模式跑新版本验证bin/pulsar bookie --readOnly确认正常后再用bin/pulsar bookie切回读写。 按发布节奏规划升级窗口社区通过了 PIP-47Time Based Release Plan发布节奏因此可预期每年 4 个次版本大约每季度一个新功能按季度稳定交付补丁版本按需发布安全修复出现时会紧急出 patch不用等季度窗口。落到排期上就是两句话功能演进和升级窗口按季度规划给安全补丁单独留一条应急通道别让它挤占或拖累季度升级计划。收尾三步落地建台账记录各环境版本与首次发布日期设 12 个月窗口倒计时提醒通渠道订阅userspulsar.apache.org把securityapache.org抄送privatepulsar.apache.org的上报路径写进应急预案按序升逐次版本线性升级bookie 优先、canary 先行、autorecovery 正确启停不跳版本。【免费下载链接】pulsarApache Pulsar - distributed pub-sub messaging system项目地址: https://gitcode.com/gh_mirrors/pulsar28/pulsar创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 
长河君 · 2026/11/3 2:35:48 · 阅读 1.2k Apache Pulsar 版本支持与安全管理实操指南：漏洞上报、支持窗口与跨版本升级顺序
Apache Pulsar 版本支持与安全管理实操指南漏洞上报、支持窗口与跨版本升级顺序【免费下载链接】pulsarApache Pulsar - distributed pub-sub messaging system项目地址: https://gitcode.com/gh_mirrors/pulsar28/pulsarApache Pulsar 的安全策略和版本支持规则入口是仓库根目录的 SECURITY.md正文则放在 docs 目录的安全策略页面里。这篇文章不按条款逐条念政策而是直接回答四个运维问题漏洞公告来了先查什么、手里的版本还能不能用、跨版本升级的正确顺序、自己发现漏洞要走哪几个地址。内容基于本仓库 2.10.x 代码库版本号定义见 pom.xml当前为 2.10.6-SNAPSHOT快照型信息一律标注出处时效。漏洞公告来了先查哪三件事收到userspulsar.apache.org列表上的安全通知时别急着升级先完成三项核对。社区在漏洞确认并修复后会在这个邮件列表发布公告细节与缓解建议。运维侧的标准动作是订阅该列表它有三个用途第一时间知道已发布版本出了什么问题拿到官方推荐的升级目标和临时规避手段对哪些版本还受支持拿不准时也可以直接在这个列表里问社区求证。公告到手后按这个顺序处理对照自己的版本台账每个环境测试/预发/生产当前跑的是哪个版本、Initial Release 是哪个月判断是否还在支持窗口内——12 个月的维护承诺是关键判断线已超窗的分支连安全补丁都不会再出只能排升级先落公告里的临时缓解关特性、收紧防火墙规则再评估升级窗口两条线并行。 自己发现漏洞两个地址走通上报路径主渠道是 Apache 软件基金会的统一安全地址同时抄送 Pulsar 私有列表。主收件地址securityapache.org覆盖整个 Apache 生态的漏洞接收抄送地址privatepulsar.apache.org这是一个私有邮件列表内容不对外公开作用是在修复完成前限制传播范围同时让 Pulsar 的 PMC 更快介入。报告正文建议给全四样东西能显著加快复现与定级受影响的版本如 2.8.x、2.9.x漏洞类型与可复现步骤有 PoC 更好受影响组件broker、bookie、proxy、client 还是函数运行时实际影响评估未授权访问、数据泄露、拒绝服务等。修复并公告之前不要在 GitHub Issue 或公开邮件列表里贴细节避免 0-day 提前暴露。 你的集群是否处于默认全开放状态开箱即用的 Pulsar 不配置任何加密、认证与授权任何客户端都能用明文 Service URL 跟集群通信。生产环境必须用网络安全隔离或授权 ACL 把访问限制在可信客户端内否则等于裸奔。对照安全总览文档 site2/docs/security-overview.md 逐项核对四项TLS 传输加密含双向认证与 KeyStore 方式认证Pulsar 是可插拔设计支持 TLS 认证、Athenz、Kerberos、JWT、OAuth2 等 Provider授权 ACL认证通过后broker 以 principal 作为后续授权依据端到端加密含 Bouncy Castle 集成。连接建立时 broker 会校验认证凭据通过后连接不会反复重认证。真正负责凭据续命的是周期性检查authenticationRefreshCheckSeconds参数默认 60 秒可在 conf/broker.conf 中调整broker 按该周期检查每个连接——凭据过期就强制重新认证支持refreshAuthentication的客户端会刷新凭据不支持且过期的连接会被直接断开。配置这套机制时60 秒这个默认值要和你签发 token 的有效期对齐。⏱️ 这个版本还能用吗12 个月窗口的算法一个功能发布分支某个次版本系列如 2.5.x在首次发布后至少维护 12 个月超期后不再有任何发布——包括安全漏洞修复。算一笔账就明白了2.5.0 于 2020 年 1 月发布那么 2021 年 1 月起2.5.x 就不再被视为受维护版本。12 个月是下限不是上限部分次版本在窗口过后仍会被继续维护比如 2.7 在文档编写时还处在活跃维护状态。窗口期内安全修复回溯到旧版本的优先级最高但要清楚最新版本永远拥有最多的 bug 修复停在旧版本等于主动放弃一部分修复。版本系列首次发布至少支持到快照时状态2.9.x2021 年 11 月2022 年 11 月受支持2.8.x2021 年 6 月2022 年 6 月受支持2.7.x2020 年 11 月2021 年 11 月受支持2.6.x2020 年 6 月2021 年 6 月已结束2.5.x2020 年 1 月2021 年 1 月已结束2.4.x2019 年 7 月2020 年 7 月已结束2.3.x 以下——已结束上表是官方文档编写时刻的快照社区会随每个新版本发布刷新这张表判定前请以官方最新版安全策略页面为准拿不准的直接在userspulsar.apache.org列表问。还有一个未定项3.0.0 发布后 2.x 怎么支持尚未定论一种讨论中的方案是把 2.x 的最后一个次版本作为 LTS 延长维护但没有官方决定之前不要假设任何版本的 LTS 身份。⬆️ 跨版本升级顺序书里怎么排就别跳着走升级已有集群必须线性地穿过每个次版本从 2.8.x 到 2.10.x必须先到 2.9.x再进 2.10.x跨次版本跳跃会踩兼容性边界——Pulsar 的元数据格式、存储协议和 broker 间通信协议都在次版本间演进。集群由 ZooKeeper配置存储、bookies有状态存储节点、broker 与 proxy无状态服务组成官方升级手册在 site2/docs/administration-upgrade.md推荐的执行顺序先升级 bookies再升级 brokers、proxies最后升级客户端ZooKeeper 一般可以保持不动。每个组件都先做小范围 canary test观察无异常后再全量滚动。两个容易漏掉的细节启用了autorecovery时bookie 升级前执行bin/bookkeeper shell autorecovery -disable升级完成后执行bin/bookkeeper shell autorecovery -enable恢复bookie 建议先以只读模式跑新版本验证bin/pulsar bookie --readOnly确认正常后再用bin/pulsar bookie切回读写。 按发布节奏规划升级窗口社区通过了 PIP-47Time Based Release Plan发布节奏因此可预期每年 4 个次版本大约每季度一个新功能按季度稳定交付补丁版本按需发布安全修复出现时会紧急出 patch不用等季度窗口。落到排期上就是两句话功能演进和升级窗口按季度规划给安全补丁单独留一条应急通道别让它挤占或拖累季度升级计划。收尾三步落地建台账记录各环境版本与首次发布日期设 12 个月窗口倒计时提醒通渠道订阅userspulsar.apache.org把securityapache.org抄送privatepulsar.apache.org的上报路径写进应急预案按序升逐次版本线性升级bookie 优先、canary 先行、autorecovery 正确启停不跳版本。【免费下载链接】pulsarApache Pulsar - distributed pub-sub messaging system项目地址: https://gitcode.com/gh_mirrors/pulsar28/pulsar创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考