Ruohang Feng：PostgreSQL 生态动态：AI 漏洞猎捕风暴
内容提要
AI自动漏洞扫描给PostgreSQL生态带来安全压力：大量漏洞报告导致PostgreSQL 19推迟发布，扩展生态也加速加固，PostGIS 3.7.0拆分非核心组件以缩小攻击面，emaj、pg_anon等发布安全补丁。文章还介绍了OrioleDB 1.10.1正式版、DuckDB 2.0相关扩展更新及pg_opencc、pg_agent_gate等新扩展，并分享修复上游bug、中文本地化及Barn等自研工具进展。
延伸解读
AI漏洞扫描如何改变PostgreSQL发布节奏
文章指出，AI辅助漏洞扫描器全天候运行，导致开源项目每天收到大量漏洞报告。PostgreSQL 19因此推迟发布，代码冻结和打包定于11月9日，正式发布随后一周。作者担心最后时刻出现阻塞问题再次推迟。这说明自动化安全工具在提升安全性的同时，也显著增加了维护者的响应负担，并直接影响核心版本的发布日程。
扩展生态的主动收缩与快速修补
面对安全压力，PostgreSQL扩展生态采取了两类应对：一是缩小攻击面，如PostGIS 3.7.0将address_standardizer和postgis_tiger_geocoder从核心发行版中移除，改为独立构建打包；二是快速发布补丁，如emaj 5.0.1修复权限提升漏洞，pg_anon 3.3.2发布安全更新。文章认为，在自动化工具探测每个代码路径时，剥离非必要组件是务实选择，但下游打包者需持续跟进。
OrioleDB正式版与多分支生态更新
OrioleDB结束长期测试，发布1.10.1正式版，支持PG 16.15、17.11和18.6，旨在解决原生堆表MVCC在更新密集负载下的表膨胀和写放大问题。同期，Babelfish 6.2.0增加PG 18支持，CloudBerry 2.2.0发布大版本，PolarDB、AgensGraph、IvorySQL、pgEdge、pgtde等分支也推送补丁。作者已为这些版本构建覆盖16个Linux发行版的RPM和DEB包。
值得关注的新扩展与工具动向
文章列出多个新扩展：pg_agent_gate用于LLM代理查询或修改数据库时执行权限边界；pg_opencc支持库内简繁中文转换；pg_statecharts在PostgreSQL内实现有限状态机；kafgres让PostgreSQL充当Kafka broker。此外，作者将pg_mooncake移植到0.3.0并向上游提交兼容补丁，还修补了AWS发布的pgactive和pgcollection中的构建与运行时bug，体现多发行版打包矩阵的集成测试价值。
Q&A
为什么 PostgreSQL 19 的发布被推迟了？
由于 AI 辅助漏洞扫描工具和自动化漏洞猎手全天候运行，开源项目收到大量漏洞报告和安全披露，PostgreSQL 社区也不例外，修复浪潮导致 PostgreSQL 19 发布推迟。
PostGIS 3.7.0 在安全方面做了什么调整？
PostGIS 3.7.0 将 address_standardizer 和 postgis_tiger_geocoder 从核心发行版中移除，拆分为独立构建和打包，以缩小攻击面。
OrioleDB 1.10.1 有什么重要意义？
这是 OrioleDB 的首个稳定版（GA），结束了长期 beta 阶段，支持 PG 16.15、PG 17.11 和 PG 18.6 三个主要分支。它通过 undo 日志和现代页级并发控制解决原生堆表 MVCC 的膨胀和写放大问题。
pg_opencc 扩展是做什么的？
pg_opencc 是 OpenCC 的轻量封装，用于在数据库内进行简繁中文转换（支持 PG 14–18），避免在应用层来回转换文本。
作者在 PostgreSQL 中文本地化方面取得了哪些进展？
作者完成了 PostgreSQL 19 核心服务器消息的简体中文翻译，并回移植到 PG 15–18 分支，将在下周小版本发布中提供。同时，历史所有 508 个小版本的官方文档翻译已完成约 80%，全部完成后所有官方手册将有中文版。
Barn 是什么工具？它有什么特点？
Barn 是一个轻量级虚拟机管理器，可视为精简版 Vagrant，用于在 Linux 或 macOS 笔记本上快速创建虚拟机集群，尤其适合作为 AI 代理的本地沙箱。它支持 macOS 客户机，每台 Mac 最多可运行两个 macOS 虚拟机，加上主机共三个隔离环境。
