Закрытый открытый код: разработка Java-приложений на базе Spring

По последним данным, Java остается самым востребованным языком программирования. С помощью популярного фреймворка Spring разрабатываются приложения в корпоративной и банковской сферах. Однако сейчас компания Broadcom, которая развивает этот фреймворк, вводит изменения в условия предоставления поддержки и безопасности новых версий. Это потребует от компаний пересмотра стратегий работы и распределения нагрузки на команды. О том, как будет развиваться это направление в ближайшем будущем в России расскажет Илья Сазонов, директор по продуктам Axiom JDK.

Почему Java и Spring так популярны

Java остается востребованным благодаря своей стабильности, предсказуемости и зрелой экосистеме, которая формировалась на протяжении многих лет. Этот язык широко используется при создании государственных, финансовых и промышленных систем, где особенно важны требования к надежности, отказоустойчивости и информационной безопасности.

Для ускорения работы разработчики применяют фреймворки – универсальные инструменты для проектирования и разработки приложений. Самый популярный фреймворк – Spring. Вместе с конфигуратором Spring Boot он используется для построения сложных, надежных и масштабируемых систем. С их помощью разработчики могут использовать готовые модули, которые не нужно настраивать вручную. Например, компания Netflix сделала Spring Boot своим ключевым фреймворком, на базе которого строится вся работа.

Согласно исследованию ТехРадар/State of Java 2025 компании JUG Ru Group, 90% опрошенных российских Java-разработчиков работают с фреймворком Spring. Это обусловлено масштабом возможностей и гибкостью фреймворка – готовые конфигурации могут автоматически настраивать приложение под нужды разработчика. Например, в телеком отрасли Spring используют для разработки внутренних сервисов и клиентских приложений.

Основные возможности Spring:

• Создание больших корпоративные системы: Spring широко используется для создания крупных систем, таких как государственные информационные системы (ГИС), финтех-приложения, внутренние корпоративные сервисы и сайты с высокой нагрузкой.
• Работа с микросервисной архитектурой: Часто применяется в микросервисных системах, что делает его востребованным в современных распределенных приложениях.
• Разработка веб-приложений и API: Разработчики также применяют Spring для создания веб-сервисов и серверной части веб-приложений различного масштаба.
• Работа с облачными приложениями: Spring активно используется для создания cloud-native приложений, работающих в контейнерных средах и облачной инфраструктуре.

Он позволяет быстро выводить продукт на рынок, обладает высокой производительностью и масштабируемостью для монолитных и микросервисных приложений. Можно сказать, что практически все, что разрабатывается на Java, работает на Spring.

Неизбежная зависимость

В последние годы политика поддержки Spring претерпела существенные изменения. В 2023 году компания Broadcom приобрела VMware, которая ранее развивала Spring. Постепенно компания стала изменять условия open source поддержки: было принято решение сократить сроки поддержки релизов Spring и внедрить платные модели. Так, в августе 2024 года завершилась open source поддержка Spring Framework 5.3.x, 6.0.x и Spring Boot 2.7.x. Если ранее были версии Spring Boot с поддержкой до двух с половиной лет, то сейчас срок поддержки в open source сократился до 13 месяцев. Spring Framework вообще поддерживался до четырех лет, а сейчас примерно полтора года. Компаниям, которые используют в своих продуктах Spring, нужно чаще обновлять приложения, чтобы они отвечали всем требованиям безопасности.

В конце июня 2026 года заканчивается OSS-поддержка версии Spring Boot 3.5, последней минорной версии Spring Boot 3. Тем, кто захочет получить обновления безопасности, придётся обновляться до Spring Boot 4. Это сложнее, чем перейти с 3.4 до 3.5, многие российские разработчики предпочтут остаться на 3.5 надолго. Новости тревожные, ведь теперь мы живём в новой реальности, где публичные обновления и исправления безопасности новых версий будут доступны ограниченное время, а старые версии будут поддерживаться только по подписке от вендора. При этом российские компании не могут получить расширенную подписку от Broadcom.

Это отражает общую тенденцию в индустрии – аналогичные изменения происходят и у других крупных поставщиков. Еще в 2018 году компания Oracle ввела платные подписки не только на новые версии Java, но и за поддержку старых. В будущем компании должны учитывать это в планировании бюджетов и нагрузки на команды.

Будущее Spring в России: что делать компаниям, чтобы избежать проблем с разработкой

Изменения в политике обновлений Spring затрагивают не только сам фреймворк, но и устойчивость ИТ-инфраструктуры компаний в целом. В зоне риска находятся компании, которые не следят за версиями в эксплуатации. Если оттягивать решение этого вопроса, компания может накопить технический долг, который позже выльется в дополнительные траты и может стать целью для атак хакеров. Подобные вопросы требуют от российских компаний пересмотра подходов к безопасности и сопровождению ПО.

Поскольку цикл обновления версий Spring сокращается, теперь компаниям нужно быстрее адаптироваться и чаще их обновлять. Из-за более коротких циклов поддержки уязвимости в старых версиях будут становиться критичнее. В случае отсутствия обновлений продукты будут уязвимы к атакам, что может привести к утечкам персональных данных и другим проблемам.

Теперь компаниям стоит интегрировать обновления в цикл разработки – они должны стать обязательным и регулярным процессом. Для этого оптимально выделить команду, которая будет следить за обновлениями и вовремя проводить миграцию с одной версии на другую. Так получится избежать накопления уязвимостей. При этом стоит учитывать, что силы команды могут уходить на то, чтобы оставаться на безопасной версии, из-за чего релизы нового функционала будут откладываться.

Полностью отказаться от использования Spring в разработке гипотетически возможно, но на это потребуется выделить дополнительные средства. Однако это не гарантирует избавления от проблем с поддержкой и безопасностью. Для крупных организаций выгодно сотрудничать с компаниями, которые предоставляют профессиональную поддержку и проводят проверку на совместимость всех версий, чтобы они работали корректно при любых условиях.

На фоне ограничений и повсеместного введения подписочных моделей предоставления доступа к ИТ-инструментам сейчас формируется необходимость в развитии российских решений или адаптации существующих. В целом на рынке уже есть предложения, которые отвечают запросам заказчиков и соответствуют требованиям безопасности. Это создаёт основу для дальнейшего укрепления технологической независимости и устойчивого развития отечественной ИТ-экосистемы.