Spring Boot 中引入的部分Jar包升级或者改变版本&架构优化

一、问题

当对应的springboot 引用的包存在安全漏洞是应该怎么办？

Tomcat 输入验证错误漏洞(CVE-2023-46589)
Tomcat 拒绝服务漏洞(CVE-2024-23672)
Tomcat 拒绝服务漏洞(CVE-2024-24549)
SnakeYAML 反序列化漏洞(CVE-2022-1471)

不考虑升级Springboot ，因为改动太大，对项目影响较大 。

需要升级到的版本：

将 snakeyaml 升级到 2.0 及以上版本

将 Tomcat 升级到 11.0.0-M11、10.1.16、9.0.83、8.5.96 及以上版本

二、处理方案

方案一： 

将存在问题的包从spring-boot-starter-web中排除，重新导入：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.yaml</groupId>
            <artifactId>snakeyaml</artifactId>
        </exclusion>
    </exclusions>
</dependency>
<dependency>
    <groupId>org.yaml</groupId>
    <artifactId>snakeyaml</artifactId>
    <version>2.2</version>
    <scope>compile</scope>
</dependency>

方案二： 

Springboot项目都会有一个父类配置spring-boot-starter-parent -> spring-boot-dependencies 中的存在各种包的版本配置

spring-boot-dependencies里面的properties标签定义了当前版本所依赖的各种包的版本

dependencyManagement（管理依赖版本的方式） ：

1. 在这里声明了版本号可以在实际导入包的时候不写版本号。
2. 在该元素下声明的依赖不会实际引入到模块中，只有在 dependencies 元素下同样声明了该依赖，才会引入到模块中。
3. 该元素能够约束 dependencies 下依赖的使用，即 dependencies 声明的依赖若未指定版本，则使用 dependencyManagement 中指定的版本，否则将覆盖 dependencyManagement 中的版本。
    

项目中的properties设置对应的版本号覆盖默认的 ：

<properties>
    <java.version>1.8</java.version>
    <snakeyaml.version>2.2</snakeyaml.version>
    <tomcat.version>9.0.83</tomcat.version>
</properties>

三、优化

        虽然问题解决了，改动范围会比较大，比如十个组件使用的都是同一版本的springboot ，那么就需要改十个组件，从上面的得出pom配置可以从父类中继承，那么我们自定义的一个继承spring-boot-starter-parent的子类pom ,当升级或者版本只所有组件继承的父类的导入文件。

pom.xml继承路径图，红框为改jar引入版本需要修改的工程：

 

首先要新建继承spring-boot-starter-parent的子类maven 项目:

1、设置pom.xml ：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0"
         xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
         xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 http://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.7.15</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.custom</groupId>

    <artifactId>spring-boot-custom-parent</artifactId>
    <!-- 注意：packaging 必须为pom -->
    <packaging>pom</packaging>
    <version>1.0.0</version>
    <name>spring-boot-custom-parent</name>
    <properties>
        <java.version>1.8</java.version>
        <tomcat.version>9.0.83</tomcat.version>
    </properties>

</project>

2、项目打包添加到本地maven库

使用idea 或者打包使用maven 命令导入

3、组件使用

只需要将原本项目的pom 文件的标签parent替换如下：

    <parent>
        <groupId>com.custom</groupId>
        <artifactId>spring-boot-custom-parent</artifactId>
        <version>1.0.0</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>