Spring Security Config从5.6.3升级至6.1.2的最佳方案咨询

我们的项目基于Spring Boot 2.7.3开发，通过spring-boot-starter-security引入了spring-security-config 5.6.3，现需升级该依赖至6.1.2（对应spring-boot-starter-security 3.1.2），以下是两种升级方案的可行性分析：

方案1：仅升级spring-security-config至6.1.2，不升级starter和Spring Boot版本 #

完全不兼容，绝对不建议这么做

• Spring Security 6.x和5.x是跨大版本迭代，API重构幅度极大：比如WebSecurityConfigurerAdapter被移除、权限配置逻辑从链式写法改为Lambda风格、OAuth2模块完全重构、核心类的包结构大幅调整。
• Spring Boot 2.7.x的自动配置逻辑是针对Spring Security 5.6.x设计的，单独升级spring-security-config后，自动配置类会找不到新版Security的核心类，启动阶段就会抛出大量类缺失、方法不存在的异常。
• 依赖传递会彻底混乱：其他Spring Security组件（比如spring-security-web）仍停留在5.6.3版本，和6.1.2的config模块会出现类版本冲突，运行时随时可能出现类转换异常或NoSuchMethodError。

方案2：仅升级spring-boot-starter-security至3.1.2，不升级Spring Boot 2.7版本 #

不兼容，且严重违反Spring Boot依赖规范

• Spring Boot的starter和核心版本是强绑定的：spring-boot-starter-security 3.1.2是为Spring Boot 3.1.x量身打造的，它依赖的Spring Security 6.1.2、Spring Context等组件版本，和Spring Boot 2.7.x的依赖版本完全冲突。
• Spring Boot 3.x基于Jakarta EE 9（包名jakarta.*），而Spring Boot 2.7.x基于Java EE 8（包名javax.*），两者的基础API包名完全不同，启动时会出现大量类找不到、类型转换失败的错误。
• 官方明确不支持这种跨大版本混合使用starter和核心Boot的方式，后续会出现各种无法预估的运行时问题，排查难度极高。

推荐的安全升级路径 #

1. 完整升级到Spring Boot 3.1.2：这是官方支持的标准方案，升级后spring-boot-starter-security会自动同步到3.1.2，Spring Security组件也会升级到6.1.2，所有依赖版本完全匹配，漏洞修复彻底。
2. 升级Spring Boot 2.7.x维护版：如果暂时无法升级到Boot 3.x，可升级到Spring Boot 2.7.x的最新维护版本（如2.7.14），该版本对应的spring-security-config已经包含漏洞修复补丁，无需跨大版本升级，兼容性有保障。

内容的提问来源于stack exchange，提问作者Khushboo