deps(2.0): migrate fastjson to 2.0.x v1-compat build — resolve CVE-2026-16723

rythm-engine 硬编码 com.alibaba.fastjson v1 API（JSONWrapper / TemplateBase / S），
无 JSON 抽象层或 SPI，无法以 jackson 或直接 exclusion 替换（exclusion 会砍掉
rythm 的 JSON 渲染参数便利路径且上游仍强引用）。

采用 alibaba 官方过渡方案：com.alibaba:fastjson:2.0.57 —— 同一 GAV、v1 包名与
API 面（JSON.parse/parseArray/parseObject、JSONArray 实现 java.util.List），
内部实现为 fastjson2 内核，彻底脱离已终止维护且存在无修复 RCE 的 1.2.x 线。

- 根 pom 新增 dependencyManagement 锁定（$fastjson.version=2.0.57）
- 新增 RythmFastjsonCompatTest 锁定 rythm 实际调用的 v1 API 面：
  JSONWrapper 构造/getObject/getArray/isArray、typed parseObject/parseArray、
  JSONArray size()/get(int)/toString() 循环模式 —— 兼容面回归可观测

Author: loong10k

easydoc-rythm/src/test/java/io/github/easy4j/doc/rythm/RythmFastjsonCompatTest.java

@@ -0,0 +1,81 @@
+package io.github.easy4j.doc.rythm;
+
+import com.alibaba.fastjson.JSON;
+import com.alibaba.fastjson.JSONArray;
+import com.alibaba.fastjson.JSONObject;
+import org.junit.jupiter.api.DisplayName;
+import org.junit.jupiter.api.Test;
+import org.rythmengine.utils.JSONWrapper;
+
+import java.util.List;
+import java.util.Map;
+
+import static org.junit.jupiter.api.Assertions.assertEquals;
+import static org.junit.jupiter.api.Assertions.assertFalse;
+import static org.junit.jupiter.api.Assertions.assertTrue;
+
+/**
+ * rythm-engine 传递依赖 fastjson 的兼容性冒烟测试。
+ *
+ * <p>背景：rythm 在 {@code utils/JSONWrapper}、{@code template/TemplateBase}、
+ * {@code utils/S} 中硬编码 fastjson <b>v1</b> API（com.alibaba.fastjson.*），且无 JSON 抽象层/SPI。
+ * 1.2.x 线已终止维护并存在无修复的 CVE-2026-16723（影响 1.2.68–1.2.83），
+ * 因此本工程将 effective 版本锁定到 <b>2.0.x v1 兼容构建</b>——同一 GAV，
+ * 包名与 API 面保持 v1，内部实现切换为 fastjson2 内核。</p>
+ *
+ * <p>本测试锁定 rythm 实际调用的那部分 v1 API 面，防止未来误把依赖降回 1.2.x
+ * 或升级到破坏 v1 兼容面的版本时无人察觉：</p>
+ * <ul>
+ *   <li>{@code JSON.parse(String)} —— JSONWrapper 构造路径</li>
+ *   <li>{@code JSON.parseArray(String, Class)} / {@code JSON.parseObject(String, Class)}
+ *       —— TemplateBase.__setRenderArg(JSONWrapper) 的带类型参数绑定路径</li>
+ *   <li>JSONArray 的 {@code size()/get(int)/toString()} —— TemplateBase.setJSONArray/setJSONObject</li>
+ *   <li>{@code JSONWrapper#isArray()/getArray()/getObject()} —— rythm 自身类在兼容构建下的行为</li>
+ * </ul>
+ */
+class RythmFastjsonCompatTest {
+
+	@Test
+	@DisplayName("JSON.parse — JSONWrapper 构造 + 对象访问路径")
+	void jsonParseViaJsonWrapper() {
+		JSONWrapper wrapper = new JSONWrapper("{\"name\":\"张三\",\"age\":30}");
+		assertFalse(wrapper.isArray());
+		Map<String, Object> obj = wrapper.getObject();
+		assertEquals("张三", obj.get("name"));
+		assertEquals(30, obj.get("age"));
+	}
+
+	@Test
+	@DisplayName("JSONWrapper 数组路径 — isArray/getArray")
+	void jsonWrapperArrayPath() {
+		JSONWrapper wrapper = new JSONWrapper("[{\"id\":1},{\"id\":2}]");
+		assertTrue(wrapper.isArray());
+		List<Object> list = wrapper.getArray();
+		assertEquals(2, list.size());
+	}
+
+	@Test
+	@DisplayName("JSON.parseObject/parseArray 带类型绑定 — TemplateBase 渲染参数路径")
+	void typedBindingSurface() {
+		JSONObject obj = JSON.parseObject("{\"title\":\"t\",\"n\":2}", JSONObject.class);
+		assertEquals("t", obj.getString("title"));
+		assertEquals(2, obj.getIntValue("n"));
+
+		List<String> arr = JSON.parseArray("[\"a\",\"b\"]", String.class);
+		assertEquals(2, arr.size());
+		assertEquals("b", arr.get(1));
+	}
+
+	@Test
+	@DisplayName("对象→数组元素逐个 parseObject — setJSONObject 循环模式（含 size/get/toString）")
+	void elementWiseParse() {
+		String arrayStr = "[{\"k\":\"v1\"},{\"k\":\"v2\"}]";
+		JSONArray raw = (JSONArray) JSON.parse(arrayStr);
+		assertEquals(2, raw.size());
+		for (int i = 0; i < raw.size(); i++) {
+			Object el = raw.get(i);
+			JSONObject parsed = JSON.parseObject(el.toString(), JSONObject.class);
+			assertEquals("v" + (i + 1), parsed.getString("k"));
+		}
+	}
+}

pom.xml

@@ -49,6 +49,9 @@
         <java.version>17</java.version>
         <maven.compiler.release>${java.version}</maven.compiler.release>
         <maven.version>3.9.16</maven.version>
+
+        <!-- fastjson：v1 兼容构建（内核 fastjson2），锁定 rythm-engine 传递依赖 -->
+        <fastjson.version>2.0.57</fastjson.version>
         <project.build.sourceEncoding>UTF-8</project.build.sourceEncoding>
 
         <!-- ═══ Docx4j 全家桶版本（11.5.14 统一锁定） ═══ -->
@@ -792,6 +795,16 @@
                 <scope>import</scope>
             </dependency>
 
+            <!-- fastjson 2.x（v1 兼容构建，内核为 fastjson2）：锁定 rythm-engine 传递依赖。
+                 1.2.x 线已终止且存在无修复的 CVE-2026-16723（RCE 家族）；
+                 2.0.x 保持 com.alibaba.fastjson v1 包名与 API（rythm 硬编码依赖），
+                 内部实现切换到 fastjson2 内核，彻底脱离受影响的 1.2.x 线 -->
+            <dependency>
+                <groupId>com.alibaba</groupId>
+                <artifactId>fastjson</artifactId>
+                <version>${fastjson.version}</version>
+            </dependency>
+
             <!-- ======== Test ======== -->
 
             <!-- https://mvnrepository.com/artifact/junit/junit -->