Spring Boot 中引入的部分Jar包升级大概改变版本&架构优化 ...

一、标题

当对应的springboot 引用的包存在安全毛病是应该怎么办？
Tomcat 输入验证错误毛病(CVE-2023-46589)
Tomcat 拒绝服务毛病(CVE-2024-23672)
Tomcat 拒绝服务毛病(CVE-2024-24549)
SnakeYAML 反序列化毛病(CVE-2022-1471)
不思量升级Springboot ，由于改动太大，对项目影响较大 。

必要升级到的版本：
将 snakeyaml 升级到 2.0 及以上版本
将 Tomcat 升级到 11.0.0-M11、10.1.16、9.0.83、8.5.96 及以上版本
二、处理方案

方案一： 

1. 将存在问题的包从spring-boot-starter-web中排除，重新导入：

复制代码

1. <dependency>
2.     <groupId>org.springframework.boot</groupId>
3.     <artifactId>spring-boot-starter-web</artifactId>
4.     <exclusions>
5.         <exclusion>
6.             <groupId>org.yaml</groupId>
7.             <artifactId>snakeyaml</artifactId>
8.         </exclusion>
9.     </exclusions>
10. </dependency>
11. <dependency>
12.     <groupId>org.yaml</groupId>
13.     <artifactId>snakeyaml</artifactId>
14.     <version>2.2</version>
15.     <scope>compile</scope>
16. </dependency>

复制代码

方案二： 

Springboot项目都会有一个父类配置spring-boot-starter-parent -> spring-boot-dependencies 中的存在各种包的版本配置
spring-boot-dependencies内里的properties标签界说了当前版本所依赖的各种包的版本
dependencyManagement（管理依赖版本的方式） ：

• 在这里声明白版本号可以在实际导入包的时间不写版本号。
  
• 在该元素下声明的依赖不会实际引入到模块中，只有在 dependencies 元素下同样声明白该依赖，才会引入到模块中。
  
• 该元素可以或许束缚 dependencies 下依赖的利用，即 dependencies 声明的依赖若未指定版本，则利用 dependencyManagement 中指定的版本，否则将覆盖 dependencyManagement 中的版本。
   
  

项目中的properties设置对应的版本号覆盖默认的 ：

1. <properties>
2.     <java.version>1.8</java.version>
3.     <snakeyaml.version>2.2</snakeyaml.version>
4.     <tomcat.version>9.0.83</tomcat.version>
5. </properties>

复制代码

三、优化

        固然标题解决了，改动范围会比较大，好比十个组件利用的都是同一版本的springboot ，那么就必要改十个组件，从上面的得出pom配置可以从父类中继承，那么我们自界说的一个继承spring-boot-starter-parent的子类pom ,当升级大概版本只全部组件继承的父类的导入文件。
pom.xml继承路径图，红框为改jar引入版本必要修改的工程：
 

首先要新建继承spring-boot-starter-parent的子类maven 项目:
1、设置pom.xml ：

1. <?xml version="1.0" encoding="UTF-8"?>
2. <project xmlns="http://maven.apache.org/POM/4.0.0"
3.          xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
4.          xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
5.     <modelVersion>4.0.0</modelVersion>
6.     <parent>
7.         <groupId>org.springframework.boot</groupId>
8.         <artifactId>spring-boot-starter-parent</artifactId>
9.         <version>2.7.15</version>
10.         <relativePath/> <!-- lookup parent from repository -->
11.     </parent>
12.     <groupId>com.custom</groupId>
14.     <artifactId>spring-boot-custom-parent</artifactId>
15.     <!-- 注意：packaging 必须为pom -->
16.     <packaging>pom</packaging>
17.     <version>1.0.0</version>
18.     <name>spring-boot-custom-parent</name>
19.     <properties>
20.         <java.version>1.8</java.version>
21.         <tomcat.version>9.0.83</tomcat.version>
22.     </properties>
24. </project>

复制代码

2、项目打包添加到当地maven库

利用idea 大概打包利用maven 命令导入

3、组件利用

只必要将原来项目的pom 文件的标签parent替换如下：

1.     <parent>
2.         <groupId>com.custom</groupId>
3.         <artifactId>spring-boot-custom-parent</artifactId>
4.         <version>1.0.0</version>
5.         <relativePath/> <!-- lookup parent from repository -->
6.     </parent>

复制代码

免责声明：如果侵犯了您的权益，请联系站长，我们会及时删除侵权内容，谢谢合作！更多信息从访问主页：qidao123.com:ToB企服之家，中国第一个企服评测及商务社交产业平台。