Java

Java на одному екрані: кожен будівельний блок — тоді й тепер

Java тримає старий код робочим. Більшість класів, написаних під Java 8 у 2014 році, досі компілюються й працюють на JDK 27, тож більшість кодових баз змішує три-чотири епохи, а більшість матеріалів в інтернеті вчить найстарішої. Оскільки новий реліз виходить кожні пів року, замінено чимало. Тут усе це одразу. Таблиця перелічує кожну роботу, те, як її робить сучасна Java, що саме цей спосіб замінив, і реліз JDK, у якому сучасний спосіб став остаточним — не preview, не incubator. Це ще й найшвидший спосіб датувати кодову базу, туторіал чи відповідь кандидата на співбесіді.

Релізи, підтримка і який JDK у вас насправді

З Java 10, у березні 2018 року, новий JDK виходить щобереня й щовересня. Більшість релізів підтримується лише до наступного, тобто пів року. Раз на два роки один реліз отримує статус LTSLTSLong-Term Support — реліз, що роками отримує патчіЛінія релізів, що й далі отримує виправлення безпеки та критичних багів упродовж оголошеного строку після виходу новіших версій, але без нових можливостей. Вона дає команді оновлюватися у власному темпі — до кінцевої дати в таблиці підтримки, після якої наступна вразливість не матиме виправлення взагалі.Усі терміни — довгострокова підтримка — і роками отримує виправлення безпеки; з 17-ї проміжок між LTS-релізами становить два роки, а не три. Поточний LTS — 25, з вересня 2025 року; найновіший реліз — 27, з вересня 2026 року; наступним LTS буде 29, у вересні 2027 року. Продакшн-системи майже завжди працюють на LTS, і можливості з таблиці доходять до більшості команд стрибками завбільшки з LTS: 11, 17, 21, 25.

Це дати Oracle для платних клієнтів, і вони не вся історія. JDK — одна кодова база з відкритим кодом, OpenJDK, і кілька постачальників її збирають, тестують і латають: серед них Temurin від Eclipse Adoptium, Amazon Corretto, Azul Zulu, Microsoft і Red Hat. Їхні збірки — той самий код, оновлення для кожного LTS безплатні, і кожен публікує власні дати завершення, зазвичай на кілька років після релізу. Oracle JDK — одна зі збірок, з ліцензією, що раз у раз змінювалася з 2019 року: у квітні 2019 року оновлення Oracle JDK 8 перестали бути безплатними для продакшену; у 2021 році Oracle JDK 17 отримав безплатну ліцензію, що спливає через рік після виходу наступного LTS; у січні 2023 року платна підписка перейшла на ціну за працівника — за кожного працівника й підрядника компанії, а не за сервер чи розробника; а з жовтневого оновлення 2026 року Oracle JDK 21 повертається під ліцензію, що вимагає підписки в продакшені.

Машина під сподом: байт-код, JIT і прогрів

Java не компілюється в машинний код. Компілятор javac перетворює вихідний код на байт-код — інструкції абстрактної машини, — а JVM для кожної платформи перетворює байт-код на те, що виконує процесор. Через цю опосередкованість один JAR-файл без змін працює і на Mac розробника, і на Linux-сервері, і саме звідси береться профіль продуктивності Java.

JVM починає з інтерпретації байт-коду — це повільно — і водночас рахує, як часто виконується кожен метод. Метод, що перейшов поріг, швидко компілює JITJITJust-In-Time compilation — компіляція під час роботиКомпіляція коду тоді, коли програма вже працює: середовище спершу виконує його як є, дивиться, які ділянки гарячі, і на ходу перетворює саме їх на машинний код. Тому перші секунди після старту повільніші за наступні хвилини.Усі терміни-компілятор першого рівня, лишаючи лічильники, щоб його профілювати. Метод, що лишається гарячим, компілюється знову оптимізувальним компілятором, який спирається на цей профіль: яку гілку насправді обирають, який клас реально приходить у цей виклик, який цикл виконується мільйон разів. Якщо припущення згодом виявляється хибним — з’явився новий підклас, — JVM викидає оптимізований код і повертається на рівень нижче. Тому Java-сервіс помітно повільніший на перших кількох тисячах запитів, а потім вирівнюється, і тому його пікова швидкість може перевершити код, скомпільований заздалегідь.

Старт — друга ціна: JVM має завантажити, перевірити й злінкувати тисячі класів, перш ніж щось обслужити. Для сервісу, що працює тижнями, це майже не важить, а для функції, що масштабується до нуля, важить дуже. Тепер є чотири відповіді, кожна зі своєю ціною:

Пам’ять: купа, збирач і контейнер навколо них

Об’єкти живуть у купі й звільняються збирачем сміття, а не вами, і це прибирає помилки use-after-free та подвійного звільнення, що панують у C і C++. Збирачі спираються на одне сильне спостереження: більшість об’єктів гине майже одразу. Тому купу поділено на покоління. Нові об’єкти йдуть у молоде покоління, яке збирають часто й дешево; ті нечисленні, що вижили, переходять у старе покоління, яке збирають рідко й дорого. Довгі паузи йдуть зі старого покоління, тож «зменшити сміття» зазвичай означає «перестати підвищувати об’єкти, які мали померти молодими».

На практиці збирач важить менше, ніж контейнер навколо JVM. З JDK 10 JVM читає ліміт пам’яті контейнера, а не хоста, і типово бере на купу чверть від нього: контейнер на 4 ГБ отримує купу на 1 ГБ, і більша частина пам’яті, за яку ви платите, не використовується ніколи. Поширене виправлення робить протилежну помилку. Купа, рівна ліміту контейнера, — -Xmx4g у контейнері на 4 ГБ, — не лишає місця всьому, що JVM тримає поза купою: метаданим класів, скомпільованому коду, стеку для кожного платформного потоку, мережевим буферам, власному обліку збирача. Процес переростає контейнер, і ядро його вбиває.

Spring: впровадження, автоконфігурація і проксі, якого не видно

Spring майже універсальний на Java-сервері, і по суті він дає впровадження залежностей: клас оголошує в конструкторі, що йому потрібно, а контейнер це постачає. Звучить як бюрократія, доки не побачиш наслідку: класу, що отримує своїх співробітників, у тесті можна дати підробки, тож бізнес-логіка тестується без бази даних, мережі й запущеного сервера. Spring Boot додає автоконфігурацію, яка дивиться на бібліотеки в classpath і зв’язує розумні типові налаштування, та вбудований вебсервер, тож застосунок — це один виконуваний JAR. Boot 4.0, випущений у листопаді 2025 року на Spring Framework 7, вимагає Java 17 чи новішої.

Власне вікно підтримки Spring Boot коротше, ніж у Java. Кожна мінорна лінія отримує приблизно рік безплатних виправлень: 3.5 втратила безплатну підтримку 30 червня 2026 року, 4.0 має її до 31 грудня 2026 року, а 4.1, випущена в червні 2026 року, — до 31 липня 2027 року. Після цього виправлення — комерційні. Команда, що оновлює Java раз на два роки і Spring Boot раз на два роки, половину цього часу перебуває поза безплатним вікном.

Потоки і що змінили віртуальні

Потік у Java завжди був потоком операційної системи. Це дає справжню паралельність по ядрах — на відміну від PHP, Node.js чи CPython, один процес Java може завантажити всі ядра, — і коштує стеку близько мегабайта на потік, тому сервери тримають потоки в пулі. Класичний вебсервер на Java дає один потік на запит, і межа його паралельності — пул: Tomcat, вбудований у Spring Boot, типово має 200 потоків. Двісті запитів у польоті, хоч би скільки з них лише чекало на базу даних.

Віртуальні потоки, остаточні в JDK 21, прибирають цю стелю. JVM розкладає їх на невелику кількість потоків операційної системи, що звуться носіями (carriers), — типово по одному на ядро, — а коштує віртуальний потік значно менше за платформний: його стек живе в купі й росте лише на ту глибину, на яку його використали. Коли віртуальний потік блокується на вводі-виводі, JVM його знімає: стек відкладається в купу, а носій бере інший віртуальний потік. Звичайний блокуючий код, написаний у простому стилі, який знають усі, масштабується до сотень тисяч одночасних запитів. У Spring Boot це одна властивість, spring.threads.virtual.enabled=true. Тому реактивний стиль, що купував той самий масштаб ціною повністю неблокуючого ланцюга й нечитабельних стектрейсів, потрібен значно рідше, ніж раніше.

Віртуальний потік, якого не можна зняти, називають прикутим (pinned), і він тримає свій носій, поки чекає. На JDK 21–23 це траплялося щоразу, коли потік блокувався всередині блоку synchronized — звичного в старіших бібліотеках, — а з носіями по числу ядер кілька прикутих потоків могли зупинити застосунок; це п’ятий кейс нижче. JDK 24 виправив synchronized; потік досі прикутий, поки він усередині нативного коду чи ініціалізатора класу. Увімкнення віртуальних потоків змінює більше, ніж кількість потоків, і більшість змін переносить вузьке місце, а не прибирає його:

П’ять кейсів і те, чого в кожному бракувало

Кожен кейс нижче задокументовано в бюлетені чи дорожній карті самого постачальника, державному звіті або інженерному розборі команди, з якою це сталося. Три — провали безпеки, один — витрата, один — аварія, і в чотирьох із п’яти бракувало знання про те, що насправді працює.

Другий і третій кейси — той самий провал із різницею в чотири роки. Apache Struts, вебфреймворк на Java, оприлюднив і виправив CVECVECommon Vulnerabilities and Exposures — публічний номер відомої вразливостіПублічний ідентифікатор відомої вади безпеки, як-от CVE-2021-44228 для Log4Shell, щоб постачальники, сканери й бюлетені мали на увазі той самий баг. Номер каже, що вада існує; наскільки вона небезпечна саме для вас, залежить від того, чи працює у вас уражена версія і чи відкрита назовні вражена частина.Усі терміни-2017-5638 7 березня 2017 року. Команда безпеки Equifax розіслала попередження, але систему на Struts — онлайн-портал, де споживачі оскаржували свої кредитні записи, — не оновили, а сканування, що мало це впіймати, її не знайшло. Зловмисники зайшли 13 травня й пробули 76 днів; дані близько 147 мільйонів людей викрадено. Державні звіти, що вийшли після, читаються як перелік відсутнього обліку: компанія не могла надійно сказати, які з її систем використовують бібліотеку. У грудні 2021 року Log4Shell поставив те саме питання всім організаціям одночасно. Log4j 2, найпоширеніша бібліотека логування в Java, обчислювала підстановки ${jndi:ldap://…}, записані всередині повідомлень, які вона логувала, тож будь-який рядок, який зловмисник міг змусити залогувати, — ім’я користувача, заголовок User-Agent, — змушував сервер з’єднатися з машиною зловмисника і, у багатьох конфігураціях, завантажити й виконати з неї код. Оцінка — 10 із 10. Латання зайняло чотири релізи за три тижні, і повільною частиною всюди було не латання, а пошук: Log4j зазвичай приходила як залежність залежності.

Четвертий кейс — не вразливість, і деяким організаціям він коштував більше за неї. Кожна зміна ліцензування Oracle, перелічена в розділі про релізи, приходила як звичайне оновлення того самого продукту. Організації, що стандартизувалися на Oracle JDK, бо це було типове завантаження, могли на аудиті з’ясувати, що оновлення, які вони ставили, ліцензуються за кожного працівника всієї компанії. Команди, що стандартизувалися на збірці OpenJDK — тому самому коді, — не помітили нічого. Захід був той самий, якого бракувало Equifax і за Log4Shell, лише застосований до середовища виконання, а не до бібліотеки: знання, що насправді працює.

Де вона вироджується

Справжня перевага Java на довгому проєкті — не швидкість. Вона в тому, що інструменти виходять із припущення, що код переживе тих, хто його написав: збірка відтворювана, граф залежностей явний, рефакторинг на мільйоні рядків механічний і безпечний, а продакшн-профайлер, Flight Recorder, постачається з JDK за ціною, достатньо низькою, щоб лишати його ввімкненим. Коли Java-система вироджується, рідко винна мова. Винні середовище на налаштуваннях, яких ніхто не обирав, анотація, якій довірили те, чого вона не бачить, або залежність, про яку ніхто не знав:

• Купа, рівна ліміту контейнера, що закінчується перезапуском з OOMKilled без стектрейсу.
• Купа, лишена на типовій чверті, — оплата пам’яті, якою JVM ніколи не користується.
• Ліниві зв’язки JPA, завантажені в циклі чи у view через open-in-view, перетворюють один ендпоінт на сотні запитів.
• Метод із @Transactional, викликаний із власного класу: проксі оминають, і нічого не відкочується так, як задумано.
• Віртуальні потоки, увімкнені з пулом на десять з’єднань, — черга переїжджає, а не зникає.
• Реактивний стек, узятий заради масштабу на Java 21 чи новішій, де звичайний блокуючий код тепер доходить туди ж.
• Винятки, спіймані й залоговані на кожному шарі: один збій дає п’ять стектрейсів і жодного рішення.
• Інтерфейс і фабрика на кожен клас — під другу реалізацію, яка так і не з’являється.
• Вбудована серіалізація, що приймає байти ззовні процесу.
• JDK чи лінія Spring Boot поза вікном підтримки — або збірка Oracle, яку ніхто не обирав.

Чесна межа — у самій формі середовища. JVM збудовано, щоб стартувати раз і працювати довго, і кожна відповідь на швидкий старт із розділу про JVM чимось за нього розплачується. Збирач сміття, навіть з паузами менше мілісекунди, однаково означає накладні витрати пам’яті й процес, таймінг якого не повністю під вашим контролем. А церемонія, що окупається за десятиліття, коштує реального часу на двотижневому прототипі чи скрипті на п’ятдесят рядків, де легший інструмент просто кращий вибір.

Практична перевірка — три команди проти запущеного продакшн-екземпляра. java -version дає реліз і постачальника — таблицю підтримки й ліцензію. jcmd <pid> VM.flags показує збирач і купу, які JVM насправді обрала. А дерево залежностей із mvn dependency:tree чи gradle dependencies, збережене як SBOMSBOMSoftware Bill of Materials — список того, що всерединіМашиночитний перелік усіх компонентів, з яких зібрано програму, включно із залежностями, що приходять через інші залежності. Він важить у день, коли оголошують вразливість: без нього на питання «чи це нас стосується?» відповідають здогадом.Усі терміни, — та відповідь, що знадобиться вам зранку наступного Log4Shell.

Коли це застосовувати

Пов’язані сторінки

• РозробкаGoGo — компільована мова, чиє середовище виконання запускає тисячі дешевих горутин на кількох потоках ОС, тож код, що блокується, лишається швидким. Через цей задум Go-сервіс читається згори вниз без жодного колбека — і через нього ж його типовий збій не повільний запит, а горутина, що чекає вічно. Сторінка починається з усіх місць, де горутина чекає, і того, що її відпускає; далі — планувальник у контейнері, життя й витоки горутин, спільна пам’ять і детектор гонок, помилки, релізи до Go 1.27, пам’ять і збирач сміття, п’ять задокументованих кейсів і те, де все це вироджується.
• РозробкаМікросервісиМікросервіси — це архітектура, у якій одну систему будують як набір невеликих сервісів: кожен деплоїться окремо, володіє власними даними й належить одній команді. Незалежний деплой — те, що цей стиль купує, а кожен виклик, який тепер іде через мережу, — те, чим за це платять. Сторінка починається з шістнадцяти проблем, які додає мережа, і патерну, що відповідає на кожну; далі — дев’ять характеристик, якими цей термін визначили, що потрібно мати до другого сервісу, дані між сервісами, виклики між сервісами, експлуатація багатьох сервісів, п’ять задокументованих збоїв і де все це вироджується.
• РозробкаДизайн APIДизайн API — це робота над тим, що інші програми можуть надсилати вашій, що вони отримають у відповідь і які з цих обіцянок ви триматимете роками. Усе, що споживач може спостерегти, стає частиною обіцянки, і забрати її самотужки ви не можете. Сторінка починається з шістнадцяти рішень, які ухвалює кожен HTTP-API, — що обрати за замовчуванням і чого коштує змінити кожне пізніше; далі — що входить у контракт, методи, коди статусу й помилки, поведінка під повторами й навантаженням, хто що може робити, зміна опублікованого API, п’ять задокументованих кейсів і де все це вироджується.