针对公司中由于使用快照版jar包带来的安全隐患，进行了代码安全红线扫描。规定项目禁止依赖快照版本。初期尝试联系负责人升级jar到release版本，但遇到无人维护的祖传jar。最终解决方案是下载快照jar和pom，修改版本号为release并部署到maven仓库，确保代码不变。使用maven命令`mvn deploy:deploy-file`完成部署。
背景：之前公司的jar包管理不够规范，dubbo调用，很多依赖的jar都是快照版，如果别人修改了同样的同样快照版并deploy到maven仓库，会覆盖之前的快照版本，有一定的代码安全隐患，并确实出现过一定的安全事故。
公司做了代码的安全红线扫描，如果项目中有依赖快照版本，不允许上线
开始的处理办法：向各个项目负责人询问对应的jar的release版本，并对比之前的快照版进行升级，但是这样代码也会有变动，风险稍微可控。但是也有很多祖传的jar，已经很多年没人维护了，根本找不到负责人，也没有对应的release包，更无法升级。
最后的解决办法：将目前依赖的快照版jar以及pom从maven仓库down下来，将版本号修改为对应的release版本，并deploy到maven仓库。这样代码就不会有任何变动，完美解决问题。
相关maven命令：mvn deploy:deploy-file -Dfile="xxxjar" -DpomFile="xxx.pom" -Durl="http://ip:端口/nexus/content/repositories/releases" -DrepositoryId=releases
扫一扫
3430
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
