redb 4.0: мажорное обновление экосистемы с XML-маршрутами и закрытыми уязвимостями

Выпуск 4.0.0 — это одновременный мажор всех продуктов экосистемы redb. Разработчик отмечает, что работа шла при активной обратной связи: комментарии к статьям, обсуждения на GitHub и отчёты с живых стендов легли в основу размышлений и исправлений. В результате релиз затронул сразу четыре ключевых компонента, а не отдельный продукт, что делает его значимым событием для всех, кто использует эту линейку.

Подробности

В версии 4.0.0 обновлены четыре компонента экосистемы: хранилище redb.Core, интеграционный движок redb.Route, рантайм redb.Tsak и OpenID-сервер redb.Identity. Все они выходят под одним номером — 4.0.0. Состав релиза заметно расширился: в NuGet опубликовано 76 пакетов против 66 в версии 3.7, также подготовлено семь образов в GHCR и архивы под Windows и Linux. Pro-издание, как и прежде, остаётся бесплатным и не требует лицензионного ключа на всей линии 4.x. Среди нововведений заявлены XML-маршруты, ленивые ссылки, уникальные ключи и поддержка WS-Trust. Часть изменений релиза относится к безопасности — в исходном анонсе они обозначены как закрытые вопросы, однако конкретные CVE, версии уязвимых сборок и технические детали в тексте не раскрываются. Разработчик подчёркивает, что изменений настолько много, что подробный разбор каждого продукта потребует отдельной статьи, и такие материалы планируются. Отдельно отмечено, что обновление содержит ломающие изменения — то есть часть правок нарушает обратную совместимость с предыдущей веткой 3.x. Полные списки изменений опубликованы на redb.ru/releases.

Что делать

Перед обновлением до 4.0.0 стоит внимательно изучить полные списки изменений на redb.ru/releases — прежде всего разделы, касающиеся ломающих правок и безопасности. Поскольку мажор затрагивает сразу redb.Core, redb.Route, redb.Tsak и redb.Identity, обновлять их рекомендуется согласованно, в рамках единой версии 4.0.0, чтобы избежать несовместимости между компонентами. Учитывая, что релиз закрывает вопросы безопасности, пользователям ветки 3.x имеет смысл оценить риски и запланировать переход. Перед развёртыванием в продакшене стоит протестировать обновление на тестовом стенде: ломающие изменения могут потребовать доработки конфигураций и интеграций. Лицензионный ключ для Pro-издания на линии 4.x не нужен, поэтому дополнительных барьеров для обновления нет. Итог: redb 4.0.0 — крупный синхронный мажор всей экосистемы с новыми возможностями и закрытыми вопросами безопасности. К обновлению стоит подходить планомерно, с учётом ломающих изменений и полного списка правок.

Источник: Хабр — Информационная безопасность