Springboot降低内置tomcat版本

前言

项目渗透测试中，tomcat9服务器暴露了一个敏感信息，需要降低tomcat版本。网上关于降低springboot内置tomcat版本很多，大部分都是说通过指定tomcat.version来替换spring-boot-starter-tomcat中tomcat的版本，经过验证不行。以下提供一种可以调整版本的方法。

一、进入spring-boot-starter-tomcat，查看pom.xml文件

依赖包如下

<dependency>
      <groupId>javax.annotation</groupId>
      <artifactId>javax.annotation-api</artifactId>
      <version>1.3.2</version>
      <scope>compile</scope>
    </dependency>
    <dependency>
      <groupId>org.apache.tomcat.embed</groupId>
      <artifactId>tomcat-embed-core</artifactId>
      <version>9.0.39</version>
      <scope>compile</scope>
      <exclusions>
        <exclusion>
          <artifactId>tomcat-annotations-api</artifactId>
          <groupId>org.apache.tomcat</groupId>
        </exclusion>
      </exclusions>
    </dependency>
    <dependency>
      <groupId>org.apache.tomcat.embed</groupId>
      <artifactId>tomcat-embed-el</artifactId>
      <version>9.0.39</version>
      <scope>compile</scope>
    </dependency>
    <dependency>
      <groupId>org.apache.tomcat.embed</groupId>
      <artifactId>tomcat-embed-websocket</artifactId>
      <version>9.0.39</version>
      <scope>compile</scope>
    </dependency>

二、进入maven仓库查找对应的tomcat依赖包版本

仓库地址：添加链接描述

三、修改当前应用的pom.xml文件

如下：

<dependency>
                <groupId>org.apache.tomcat.embed</groupId>
                <artifactId>tomcat-embed-core</artifactId>
                <version>8.5.59</version>
                <scope>compile</scope>
                <exclusions>
                    <exclusion>
                        <artifactId>tomcat-annotations-api</artifactId>
                        <groupId>org.apache.tomcat</groupId>
                    </exclusion>
                </exclusions>
            </dependency>
            <dependency>
                <groupId>org.apache.tomcat.embed</groupId>
                <artifactId>tomcat-embed-el</artifactId>
                <version>8.5.59</version>
                <scope>compile</scope>
            </dependency>
            <dependency>
                <groupId>org.apache.tomcat.embed</groupId>
                <artifactId>tomcat-embed-websocket</artifactId>
                <version>8.5.59</version>
                <scope>compile</scope>
            </dependency>

如图：

四、版本降低成功。渗透测试提示的版本号泄露问题，最终没有采用这种方案，原因是tomcat低版本与springboot高版本之间的整合出现问题。最终解决方案为用undertow替换tomcat。