在已停止维护的Spring Boot 2.5.15中升级Spring Framework至5.3.32是否为良好实践？

首先得明确几个核心点：

• Spring Boot 2.5.x官方兼容的Spring Framework版本范围就是5.3.x系列，5.3.32属于同大版本内的更新，理论上不会出现核心功能的兼容性问题，但毕竟不是Spring Boot默认绑定的版本，可能存在一些边缘场景的适配问题——比如某些自动配置的细节、与Spring Boot集成的第三方组件的兼容问题，所以这么做之前必须做好全面测试。
• 你当前使用的Spring Boot 2.5.15已经停止维护，这才是更大的风险：除了Spring Framework的漏洞，Spring Boot本身集成的其他依赖（比如Tomcat、Jackson、Spring Security等）也可能存在未修复的安全隐患，只升级Spring Framework只是补了一块短板，没解决根本问题。

真正的良好实践应该是：

1. 优先升级到Spring Boot 2.5.x分支的最后一个维护版本（2.5.16），这个版本官方已经把所有依赖（包括Spring Framework）更新到了安全兼容的版本，不需要你手动指定，避免自己踩兼容坑。
2. 如果业务允许，直接升级到仍在长期维护的Spring Boot分支（比如2.7.x，维护至2024年11月），甚至3.x版本（需Java 17+支持），从根源上消除所有停止维护版本带来的安全风险。

如果因为各种限制暂时没办法升级Spring Boot版本，手动指定Spring Framework 5.3.32作为临时应急方案是可以接受的，但这只是权宜之计，绝不能当成长期方案。

内容的提问来源于stack exchange，提问作者azzaro-dev