starRiverProperty/docs/reviews/alibaba-audit-2026-04-24/05-maven-cloudwalk-legacy-public.md

05 maven-cloudwalk-legacy-public — 阿里巴巴规范走查（整理版）

范围：约 215 个 *.java；子模块含 cwos-sdk-event、cloudwalk-common-result、common-web、common-serial、cloudwalk-intelligent-component-lock 等。

问题清单（节选）

严重度	位置	类别	说明	建议
P0	.../security/AESUtils.java	安全	使用 AES/ECB/PKCS5Padding	改为 GCM 或 CBC+随机 IV 等安全模式并评估兼容
P1	cwos-sdk-event/.../KafkaConsumer.java	异常/日志	catch (Exception) + printStackTrace + 仅 error(message)	logger.error("...", e)；删 printStackTrace
P1	KafkaConsumer.java	API	Class.newInstance() 已废弃	getDeclaredConstructor().newInstance()
P1	KafkaProducter.java	泛型/命名	原始类型 Producer；类名 Producter 拼写	泛型化；重命名类（注意与 Kafka 客户端类名冲突）
P1	.../CloudwalkContextParameterFilter.java	异常	catch (Exception) 吞掉过滤器链异常	区分可恢复/不可恢复，避免吞
P1	.../BeanCopyUtils.java 等	异常/反射	宽 catch + newInstance()	收窄异常；换构造器反射
P2	多文件	日志	main 中 System.out 演示	移至 src/test 或删除
P2	SnowflakeIdWorker 等	魔法值	位移掩码等未命名	提取常量并注释

小结

安全红线：AES-ECB 应排期整改。
工程卫生：去除 printStackTrace / System.out、替换废弃反射 API、减少 catch (Exception) 吞栈。