如何覆盖Maven插件的漏洞依赖？Nexus隔离致构建失败

问题场景 #

使用Nexus作为Maven仓库时，maven-enforcer-plugin 3.4.1依赖的commons-io 2.13.0因存在CVE-2024-47554漏洞（CVSS评分8.7）被Nexus隔离，执行mvn validate时构建失败。尝试在pom.xml的dependencyManagement中指定commons-io 2.16.0版本覆盖插件依赖，但未生效。

原因分析 #

dependencyManagement仅管控项目业务依赖的版本，无法直接覆盖Maven插件自身的依赖版本。插件的依赖解析有独立优先级，默认使用插件定义的依赖版本，不受项目dependencyManagement规则影响。

可行解决方案 #

方案1：升级maven-enforcer-plugin到安全版本 #

maven-enforcer-plugin的新版本通常会修复依赖漏洞，比如3.5.0及以上版本已将commons-io依赖升级至安全版本。直接修改插件版本即可：

<build>
    <plugins>
        <plugin>
            <groupId>org.apache.maven.plugins</groupId>
            <artifactId>maven-enforcer-plugin</artifactId>
            <!-- 升级到无漏洞依赖的版本，例如3.5.0 -->
            <version>3.5.0</version>
            <executions>
                <execution>
                    <id>enforce-versions</id>
                    <goals>
                        <goal>enforce</goal>
                    </goals>
                    <configuration>
                        <fail>true</fail>
                        <rules>
                            <requireMavenVersion>
                                <version>3.2.5</version>
                            </requireMavenVersion>
                            <requireJavaVersion>
                                <version>[1.8,)</version>
                            </requireJavaVersion>
                        </rules>
                    </configuration>
                </execution>
            </executions>
        </plugin>
    </plugins>
</build>

方案2：在插件内部显式覆盖依赖版本 #

如果暂时无法升级插件版本，可在插件配置中添加dependencies块，强制指定commons-io的安全版本：

<build>
    <plugins>
        <plugin>
            <groupId>org.apache.maven.plugins</groupId>
            <artifactId>maven-enforcer-plugin</artifactId>
            <version>3.4.1</version>
            <!-- 显式指定commons-io安全版本，覆盖插件默认依赖 -->
            <dependencies>
                <dependency>
                    <groupId>commons-io</groupId>
                    <artifactId>commons-io</artifactId>
                    <version>2.16.0</version>
                </dependency>
            </dependencies>
            <executions>
                <execution>
                    <id>enforce-versions</id>
                    <goals>
                        <goal>enforce</goal>
                    </goals>
                    <configuration>
                        <fail>true</fail>
                        <rules>
                            <requireMavenVersion>
                                <version>3.2.5</version>
                            </requireMavenVersion>
                            <requireJavaVersion>
                                <version>[1.8,)</version>
                            </requireJavaVersion>
                        </rules>
                    </configuration>
                </execution>
            </executions>
        </plugin>
    </plugins>
</build>

方案3：全局插件依赖版本管理（多插件场景适用） #

如果多个插件存在类似漏洞依赖问题，可在pluginManagement中统一管理插件的依赖版本：

<build>
    <pluginManagement>
        <plugins>
            <plugin>
                <groupId>org.apache.maven.plugins</groupId>
                <artifactId>maven-enforcer-plugin</artifactId>
                <version>3.4.1</version>
                <dependencies>
                    <dependency>
                        <groupId>commons-io</groupId>
                        <artifactId>commons-io</artifactId>
                        <version>2.16.0</version>
                    </dependency>
                </dependencies>
            </plugin>
            <!-- 其他需要覆盖依赖的插件可在此配置 -->
        </plugins>
    </pluginManagement>
    <plugins>
        <plugin>
            <groupId>org.apache.maven.plugins</groupId>
            <artifactId>maven-enforcer-plugin</artifactId>
            <executions>
                <execution>
                    <id>enforce-versions</id>
                    <goals>
                        <goal>enforce</goal>
                    </goals>
                    <configuration>
                        <fail>true</fail>
                        <rules>
                            <requireMavenVersion>
                                <version>3.2.5</version>
                            </requireMavenVersion>
                            <requireJavaVersion>
                                <version>[1.8,)</version>
                            </requireJavaVersion>
                        </rules>
                    </configuration>
                </execution>
            </executions>
        </plugin>
    </plugins>
</build>

验证方法 #

1. 执行mvn validate，检查构建是否成功
2. 执行mvn dependency:tree -Dverbose | grep commons-io，确认插件依赖的commons-io版本已更新为2.16.0或更高安全版本

内容的提问来源于stack exchange，提问作者TStevens