面向对象：银行后端团队 · MVC 为主 · 含 WebFlux 应用专项说明
发布日期：2026 年第二季度

一、版本现状与升级价值

1.1 当前业界主流版本

截至 2026 年，业界企业级 Java 应用的主流版本格局如下：

维度 稳健选择（推荐） 激进选择
JDK JDK 21 LTS（2023 年 9 月发布） JDK 25 LTS（2025 年 9 月发布）
Spring Boot Spring Boot 3.3.x / 3.4.x Spring Boot 4.0.x（2025 年 11 月发布）
生产验证程度 ✅ 大量国内外企业已上生产 ⚠️ 较新，生态仍在适配
银行/金融场景建议 ✅ 首选目标 ❌ 暂不建议

📌 说明：本指南聚焦于 JDK 8 + Spring Boot 2.7.2 → JDK 21 + Spring Boot 3.x 这条路线，这是银行合规与稳定性要求下的最优解。Spring Boot 4.0 留待 2027 年生态成熟后再评估。

1.2 升级的核心价值（银行视角）

维度 JDK 8 + Boot 2.7.2 现状 JDK 21 + Boot 3.x 改善
并发模型 Platform Thread，1:1 绑定 OS 线程，高并发下线程池易耗尽，常需 WebFlux 绕开 Virtual Threads (JEP 444)，JVM 管理的轻量级线程，同步代码即可写出高并发
GC 停顿 Parallel GC / CMS，Full GC 可达数秒，影响交易 SLA G1（默认）+ 分代 ZGC 可选，毫秒级停顿，生产案例：卡顿降低 20x
内存占用 JDK 8 对象头较大，容器 Pod 内存限制压力大 JDK 21 GC 优化，更好的容器资源感知（cgroups v2），内存节省 20-40%
安全合规 TLS 1.2 默认，部分弱算法仍开启，JDK 8 公开更新已停止 TLS 1.3 默认，弱算法默认禁用，持续 LTS 安全补丁至 2029 年
代码质量 大量 boilerplate，无 Record/Pattern Matching 类、模式匹配、文本块，DTO 代码量减少 40-60%
监控可观测性 Sleuth 需额外集成，与现代监控对接复杂 Micrometer Observation 原生集成，OpenTelemetry (OTLP) 开箱即用
容器化 JVM 不感知 cgroups，Pod 资源限制形同虚设 JDK 17+ 自动感知容器 CPU/内存限制，GC 参数自适应

二、核心技术变化详解

2.1 JDK 8 → JDK 21：你需要知道的核心变化

虚拟线程（Virtual Threads）

虚拟线程是 JDK 21 最重要的特性，对 MVC 应用的影响尤为直接。Spring Boot 3.2+ 只需一行配置即可为整个 MVC 容器启用：

1
2
# application.properties
spring.threads.virtual.enabled=true
  • 原理：Tomcat 的请求线程将使用 Virtual Thread 而非 Platform Thread。
  • 效果：可同时处理数万并发请求，线程创建开销接近于零。

⚠️ 注意：对于你们的场景，MVC 应用直接受益，启用后无需改代码。WebFlux 应用注意：虚拟线程主要针对阻塞式 I/O，对响应式栈收益有限，且混用可能导致载体线程被 pin（见第五章 WebFlux 专项）。

关键 API 移除与强封装（Strong Encapsulation）

JDK 9 起逐步收紧，到 JDK 17/21 已强制执行，以下是 JDK 8 代码中最常见的雷区：

问题点 JDK 8 写法 JDK 21 替代
Base64 编码 sun.misc.BASE64Encoder java.util.Base64（JDK 8 已有，迁移成本低）
XML 绑定 (JAXB) javax.xml.bind.JAXBContext 引入 jakarta.xml.bind:jakarta.xml.bind-api 依赖
内部 API 访问 反射访问 sun.misc.Unsafe 等 需要 --add-opens 临时过渡，长期应替换
CMS 垃圾回收 -XX:+UseConcMarkSweepGC 已移除，改用 G1GC 或 ZGC

新增语言特性（可渐进式使用）

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
// JDK 16+：Record 类 —— 替代 DTO/VO 的 getter/setter 样板代码
public record TransferRequest(String fromAccount, String toAccount, BigDecimal amount) {}

// JDK 16+：instanceof 模式匹配
if (obj instanceof String s && s.length() > 0) { ... }

// JDK 15+：文本块（多行 SQL/JSON 友好）
String sql = """
    SELECT * FROM accounts
    WHERE status = 'ACTIVE'
    """;

// JDK 21：Sequenced Collections
SequencedCollection<String> list = new ArrayList<>(List.of("a", "b", "c"));
list.getFirst(); // 无需 list.get(0)

2.2 Spring Boot 2.7.2 → 3.x：框架层的核心变化

① jakarta.* 命名空间替换（最大工作量）

Spring Boot 3.0 强制要求 Jakarta EE 9+，所有 javax.* 包名全部改为 jakarta.*。这是迁移中代码变更量最大的部分。

旧导包 (javax.*) 新导包 (jakarta.*) 影响范围
javax.servlet.* jakarta.servlet.* Controller、Filter、Interceptor
javax.persistence.* jakarta.persistence.* @Entity、@Column 等所有 JPA 注解
javax.validation.* jakarta.validation.* @Valid、@NotNull 等参数校验注解
javax.annotation.* jakarta.annotation.* @PostConstruct、@PreDestroy

⚠️ 注意：不要手动替换！使用 OpenRewrite 自动化处理（见第三章），防止遗漏和误替换。

② Spring Security 6.x 配置模式强制更新

Spring Security 6 移除了 WebSecurityConfigurerAdapter，改为组件注入模式，并强制 Lambda DSL。这是手工改动最多的模块之一。

❌ Spring Boot 2.7 写法（Boot 3.x 无法编译）

1
2
3
4
5
6
7
8
9
@Configuration
public class SecurityConfig extends WebSecurityConfigurerAdapter {
    @Override
    protected void configure(HttpSecurity http) throws Exception {
        http.csrf().disable()
            .authorizeRequests().antMatchers("/api/**").authenticated()
            .and().sessionManagement()...
    }
}

✅ Spring Boot 3.x 写法

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
@Configuration
public class SecurityConfig {
    @Bean
    public SecurityFilterChain filterChain(HttpSecurity http) throws Exception {
        http
            .csrf(csrf -> csrf.disable())
            .authorizeHttpRequests(auth -> auth
                .requestMatchers("/api/**").authenticated()
                .anyRequest().permitAll()
            )
            .sessionManagement(session -> session
                .sessionCreationPolicy(SessionCreationPolicy.STATELESS)
            );
        return http.build();
    }
}

⚠️ 注意：银行场景重点检查：CSRF 策略（REST API 通常关闭）、CORS 配置、JWT Filter 的注册顺序（必须用 addFilterBefore 显式指定）、以及 OPTIONS 预检请求的放行。

③ 配置属性键名变更

Spring Boot 3.x 对大量配置键进行了重命名，典型变更如下：

旧配置键 (2.7.x) 新配置键 (3.x) 说明
spring.redis.* spring.data.redis.* Redis 相关所有配置
spring.datasource.initialization-mode spring.sql.init.mode 数据源初始化
management.metrics.export.* management.prometheus.metrics.export.* Prometheus 指标导出
server.max-http-header-size server.max-http-request-header-size 请求头大小限制
logging.file logging.file.name 日志文件路径

临时迁移工具：加入 pom.xml，自动兼容旧配置键并输出诊断报告。

1
2
3
4
5
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-properties-migrator</artifactId>
    <scope>runtime</scope>
</dependency>

⚠️ 注意：完成迁移后必须移除此依赖，不得上生产。

④ 测试注解变化

  • ❌ 旧写法：@MockBean MyService myService; / @SpyBean MyRepository myRepo;
  • ✅ 新写法：@MockitoBean MyService myService; / @MockitoSpyBean MyRepository myRepo;
  • Gradle 要求：Spring Boot 3.x 要求 Gradle 7.5+，推荐 Gradle 8.x。

④ Kafka 适配要点

Spring Kafka 在 3.x 中的主要变化：

1
2
3
4
5
6
7
8
9
10
11
// Spring Kafka 3.x：KafkaTemplate 支持 CompletableFuture
// 旧写法（ListenableFuture 已废弃）
kafkaTemplate.send(topic, msg).addCallback(...); // ❌

// 新写法
kafkaTemplate.send(topic, msg)
    .whenComplete((result, ex) -> { ... }); // ✅

// 消费者配置变更：ErrorHandler 接口改名
// 旧：implements ErrorHandler
// 新：implements CommonErrorHandler

三、迁移路径与实施策略

3.1 核心原则：跳板式迁移，严禁跨版本飞跃

Spring 官方明确警告：不要从 2.7 直接升到 3.x 最新版或 Boot 4.0。正确路径：

JDK 8 + Boot 2.7.2 → JDK 17 + Boot 3.0/3.1 → JDK 17/21 + Boot 3.3/3.4 → JDK 21 + Boot 3.5.x（目标）

📌 说明：逻辑：所有在 3.x 被标记为 @Deprecated 的 API，会在大版本升级时被彻底删除。以 3.3/3.4 为跳板，能在 IDE 警告中发现并修复所有废弃用法，再升到 3.5 就不会遇到编译爆炸。

3.2 阶段一：JDK 8 → JDK 17（保持 Boot 2.7.2 不变）

第一步只升 JDK，不动 Spring Boot。目的是先排查 JDK 强封装引起的问题，独立消化风险。主要排查项：

  1. 扫描所有依赖是否使用了被移除的内部 API（sun.misc.*、JAXB 等）。
  2. 检查反射代码是否触发 InaccessibleObjectException。
  3. 验证 CGLIB 动态代理类库版本兼容性（影响 @Configuration 代理）。
  4. GC 参数清理：移除 -XX:+UseConcMarkSweepGC 等已删除参数。

临时解决强封装冲突的过渡手段（非最终方案）：
在 JVM 启动参数中添加（放在 JAVA_OPTS 或 Dockerfile）：

1
2
3
--add-opens java.base/java.util=ALL-UNNAMED
--add-opens java.base/java.lang=ALL-UNNAMED
--add-opens java.base/java.lang.reflect=ALL-UNNAMED

3.3 阶段二：Spring Boot 2.7 → 3.x（使用 OpenRewrite 自动化）

OpenRewrite 是业界公认的 AST 级重构工具，能安全地批量处理 javax → jakarta 替换、废弃 API 迁移等。

执行 OpenRewrite 迁移配方：

1
2
3
4
5
6
7
8
9
10
11
12
13
14
# 步骤1：迁移到 Java 21 语法
mvn -U org.openrewrite.maven:rewrite-maven-plugin:run \
    -Drewrite.recipeArtifactCoordinates=org.openrewrite.recipe:rewrite-migrate-java:RELEASE \
    -Drewrite.activeRecipes=org.openrewrite.java.migrate.UpgradeToJava21

# 步骤2：javax → jakarta 命名空间迁移
mvn -U org.openrewrite.maven:rewrite-maven-plugin:run \
    -Drewrite.recipeArtifactCoordinates=org.openrewrite.recipe:rewrite-migrate-java:RELEASE \
    -Drewrite.activeRecipes=org.openrewrite.java.migrate.jakarta.JavaxMigrationToJakarta

# 步骤3：升级到 Spring Boot 3.x
mvn -U org.openrewrite.maven:rewrite-maven-plugin:run \
    -Drewrite.recipeArtifactCoordinates=org.openrewrite.recipe:rewrite-spring:RELEASE \
    -Drewrite.activeRecipes=org.openrewrite.java.spring.boot3.UpgradeSpringBoot_3_3

⚠️ 注意：每步执行后，使用 git diff 检查变更，编译测试通过后再执行下一步。OpenRewrite 不能处理所有问题，如 Spring Security 配置重写等仍需人工介入。

3.4 阶段三：人工重构的高风险模块

  • Spring Security 重写：必须人工重写所有继承 WebSecurityConfigurerAdapter 的配置类。
  • Hibernate 5 → Hibernate 6：
    1. ID 生成策略默认变更。
    2. 命名策略接口变更。
    3. Criteria API 内部实现变更。
    4. HQL 语法更严格。
  • Tomcat 9 → Tomcat 10：Spring Boot 3.x 内嵌 Tomcat 10，支持 Servlet 5.0。外部部署需同步升级 Tomcat。

3.5 阶段四：升级 JDK 至 21

建议在 Spring Boot 升级稳定后，再将 JDK 从 17 升至 21，启用以下特性：

  • Virtual Threads (spring.threads.virtual.enabled=true)
  • 分代 ZGC (-XX:+UseZGC -XX:+ZGenerational)
  • Sequenced Collections、Record Patterns 等语言特性。

四、WebFlux 应用专项说明

📌 说明：此章节针对少数使用 WebFlux 的应用。MVC 应用可跳过。

4.1 虚拟线程与 WebFlux 的关系

特性 Virtual Threads WebFlux / Project Reactor
适用栈 Spring MVC (Servlet) Spring WebFlux (Reactive)
编程模型 同步阻塞代码，JVM 自动调度 异步非阻塞，手动组装响应式流
启用建议 MVC 强烈建议开启 ⚠️ WebFlux 不建议开启

Virtual Thread Pin 问题：
在 synchronized 代码块内发生阻塞或部分 native 方法调用时，虚拟线程会被 pin 到平台线程。WebFlux 应用不建议开启虚拟线程全局开关。

4.2 WebFlux 在 Spring Boot 3.x 的迁移注意点

  1. ReactiveSecurityContextHolder 用法不变，但 SecurityWebFilterChain 配置语法改为 Lambda DSL。
  2. WebClient 变化不大，但 ExchangeFilterFunction 的错误处理语义需重测。
  3. R2DBC 驱动版本需与 Spring Data R2DBC 3.x 对齐。

五、关键依赖版本对照

组件 Boot 2.7.x 版本 Boot 3.x 版本 迁移风险
Spring Framework 5.3.x 6.1.x / 6.2.x 🔴 高
Spring Security 5.7.x 6.2.x / 6.3.x 🔴 高（配置重写）
Hibernate ORM 5.6.x 6.4.x / 6.5.x 🔴 高（行为变更）
Spring Kafka 2.9.x 3.1.x / 3.2.x 🟡 中（API 变更）
Tomcat（内嵌） 9.0.x 10.1.x 🟡 中（Servlet 版本）
Jackson 2.13.x / 2.14.x 2.16.x / 2.17.x 🟢 低（仍为 2.x）
Micrometer 1.9.x 1.12.x / 1.13.x 🟢 低
Gradle 6.x / 7.x 7.5+ / 推荐 8.x 🟢 低

📌 说明：Jackson 在 Spring Boot 3.x 中仍为 2.x（不是 3.x），这是两份参考报告中 Gemini 版的一个错误。Boot 4.0 才会升到 Jackson 3.x。

六、银行场景安全合规要点

6.1 TLS 配置变化

JDK 17+ 默认行为变更：

  • TLS 1.3 成为默认协议。
  • TLS 1.0、1.1 默认禁用。
  • SSLv3 完全移除。
  • 部分弱密码套件（如 RC4、3DES）默认禁用。

临时兼容方案：

1
-Djdk.tls.disabledAlgorithms="SSLv3, TLSv1, RC4, DES, MD5withRSA"

6.2 JDK 8 停止公开更新的合规风险

Oracle JDK 8 的免费公开更新已于 2019 年 1 月停止。对于银行等受监管行业，无法获取最新安全漏洞修复（CVE），存在合规审计风险。

6.3 Spring Boot 2.7.x 支持周期

Spring Boot 2.7.x 的 OSS 支持已于 2023 年 11 月结束。升级至 3.x 是获得持续安全修复的唯一途径。

七、迁移验证检查清单

编译期检查

  • 所有 javax.* 导包已替换为 jakarta.*
  • WebSecurityConfigurerAdapter 继承已全部重写
  • @MockBean / @SpyBean 已替换为 @MockitoBean / @MockitoSpyBean
  • Kafka ErrorHandler 接口引用已替换为 CommonErrorHandler
  • KafkaTemplate.send() 回调改为 CompletableFuture / whenComplete
  • pom.xml 中 spring-boot-properties-migrator 已移除

运行期验证

  • 应用正常启动，日志无 WARN 级别的废弃配置键提示
  • 所有 /actuator/health 端点正常（liveness 和 readiness）
  • 认证/授权核心流程回归测试通过
  • CORS 预检请求（OPTIONS）正常响应
  • 数据库 CRUD + 分页 + 复杂查询功能测试通过（验证 Hibernate 6 兼容性）
  • 与内网其他服务的 TLS 连接正常

性能基线对比

  • 启动时间对比
  • GC 停顿时间监控（对比 P99 延迟）
  • 压测：同等并发下 TPS 和错误率对比
  • Pod 内存使用量对比

参考资料