Spring Boot项目显式指定tomcat-embed-core版本的可行性与架构影响

可行性：完全可以替换 #

你完全可以排除Spring Boot父依赖中自带的tomcat-embed-core版本，然后显式引入9.0.86版本。Maven配置示例如下：

<!-- 先排除Spring Boot Starter Web中的默认Tomcat依赖 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-web</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.apache.tomcat.embed</groupId>
            <artifactId>tomcat-embed-core</artifactId>
        </exclusion>
        <!-- 建议同步关联组件版本，避免依赖不一致 -->
        <exclusion>
            <groupId>org.apache.tomcat.embed</groupId>
            <artifactId>tomcat-embed-el</artifactId>
        </exclusion>
        <exclusion>
            <groupId>org.apache.tomcat.embed</groupId>
            <artifactId>tomcat-embed-websocket</artifactId>
        </exclusion>
    </exclusions>
</dependency>

<!-- 显式引入指定版本的Tomcat嵌入组件 -->
<dependency>
    <groupId>org.apache.tomcat.embed</groupId>
    <artifactId>tomcat-embed-core</artifactId>
    <version>9.0.86</version>
</dependency>
<dependency>
    <groupId>org.apache.tomcat.embed</groupId>
    <artifactId>tomcat-embed-el</artifactId>
    <version>9.0.86</version>
</dependency>
<dependency>
    <groupId>org.apache.tomcat.embed</groupId>
    <artifactId>tomcat-embed-websocket</artifactId>
    <version>9.0.86</version>
</dependency>

架构层面的差异 #

Tomcat 9.0.x系列属于小版本升级，核心架构没有本质变动，和Spring Boot 2.7.x的适配逻辑完全兼容：

• Spring Boot 2.7.x基于Servlet 4.0规范开发，Tomcat 9.x全系列都支持该规范，核心交互逻辑无变化
• 9.0.83到9.0.86的更新集中在安全补丁、bug修复、性能优化，未涉及核心组件重构或破坏性API变更

可能带来的影响 #

正向影响 #

• 获得9.0.86版本修复的安全漏洞，提升应用安全性
• 解决9.0.83中存在的已知bug，比如请求处理异常、资源泄漏问题，增强应用稳定性
• 享受小幅度性能优化，比如连接池、请求解析环节的效率提升

潜在风险 #

• 细微行为变更：部分默认配置（如超时时间、日志格式）可能有调整，若应用依赖这些默认值，需验证是否符合预期
• 兼容性盲区：虽然应用已启动，但建议覆盖核心业务场景测试（如文件上传、WebSocket通信），避免边缘场景出现问题
• 后续维护成本：升级Spring Boot版本时，需手动同步Tomcat版本，避免出现依赖冲突

内容的提问来源于stack exchange，提问作者Kiara Roy