Jetty项目安全升级：默认禁用TLS重协商功能

在网络安全领域，TLS协议作为保障数据传输安全的核心技术，其各项功能的默认配置直接关系到系统的安全基线。Jetty项目作为广泛使用的Java Web服务器和Servlet容器，在最新版本中对TLS重协商（Renegotiation）功能的默认值进行了重要调整。

TLS重协商机制原本设计用于允许通信双方在已建立的加密连接中重新协商安全参数。这一特性虽然在某些特定场景下具有灵活性，但历史上曾被发现存在严重的安全问题。特别是针对TLS 1.2及以下版本，攻击者可能利用重协商机制实施中间人攻击，插入异常数据或绕过验证机制。

国际互联网工程任务组（IETF）早已通过RFC 5746规范解决了相关问题，而现代TLS 1.3协议更是直接移除了重协商功能，采用更安全的密钥更新机制替代。Jetty项目此次变更将SslContextFactory.renegotiationAllowed参数的默认值从true改为false，正是顺应这一安全趋势的重要举措。

对于开发者而言，这一变更意味着：

1. 新版本Jetty将默认提供更高的安全防护级别
2. 需要重协商功能的特殊场景必须显式配置
3. 升级时需评估现有应用是否依赖重协商机制

从技术实现角度看，Jetty通过SslContextFactory类控制SSL/TLS相关参数。修改默认值虽然看似简单，但体现了项目团队对安全最佳实践的遵循。值得注意的是，某些遗留系统或特殊协议（如某些FTP over TLS实现）可能需要保留重协商功能，此时开发者仍可通过配置文件手动启用。

这项变更属于Jetty 12.0.x版本的更新内容，建议所有使用TLS功能的Jetty用户关注此变更可能带来的影响。对于大多数现代Web应用而言，禁用重协商不会影响正常功能，反而能消除潜在的安全隐患。这也再次验证了安全领域的重要原则：默认安全配置应该遵循"最小权限"原则，任何可能带来风险的功能都应默认关闭，仅在确实需要时开启。