PostgreSQL 博览 2026-05-16 RSS 订阅

AWS 为 Amazon RDS for PostgreSQL 的 Extended Support 发布 11.22、12.22 与 13.23 三个小版本，修复旧大版本里已知的安全漏洞和缺陷。这三个大版本已离开社区标准支持，Extended Support 最长再提供三年关键修复，升级可走维护窗口、自动小版本升级或蓝绿部署。仍留在这三个版本上的实例应把补丁列进安全例外清单，同时安排迁出。

Christophe Pettus 的 GUC 系列讲后台写入器：bgwriter_delay 决定它多久醒来一次写出脏页，避免查询在需要干净缓冲区时卡在 I/O 上；bgwriter_flush_after 在写出一定字节后提示内核回刷，防止页缓存堆积脏数据。他建议两个都保持默认，先调 bgwriter_lru_maxpages 与 bgwriter_lru_multiplier，因为延迟控制的是节奏而非吞吐。

一次分区策略调整让 Cloudflare 的 PB 级计费管道卡住，时间并没有花在扫描上，而是耗在查询尚未执行的计划阶段：parts 数量膨胀后 planner 的锁竞争成了瓶颈。团队缩小锁范围、改进 planner 路径，并利用分区键有序性对 parts 做二分裁剪，3 月上线的这项优化把查询时延降低约一半，修改已提交上游。用 ClickHouse 做计费或多租户指标的团队值得监控 parts 数量与 planner 耗时。

HA 控制面滚动升级时，旧的 API server 遇到不认识的资源会直接返回 404，CRD、聚合 API 和新内置资源的访问因此出现异常。Kubernetes v1.36 把 Mixed Version Proxy 提到 Beta 并默认启用：旧 API server 把这类请求代理给版本更新的对等节点应答。升级到 v1.36 的平台团队应确认特性开关与多副本 API server 配置，并把版本偏斜补进故障演练。

GitHub Advisory Database 记录了 @tanstack 系列 npm 包被投毒，恶意版本会收集云凭据、GitHub token 和 SSH 私钥。受影响项目本来使用 Trusted Publishing，OIDC 短期凭据减少了长期 token 暴露，攻击者转而瞄准 CI 的信任边界、缓存污染和运行时 token 抽取。用可信发布的项目仍需审计 pull_request_target 与缓存键，收紧发布流程权限。