Snyk检测到Apache-Beam依赖的pyarrow存在高危漏洞，求解决方案

1. 强制覆盖PyArrow版本 #

直接在依赖管理配置中强制指定PyArrow为安全版本14.0.1，绕过Apache Beam的默认依赖约束：

• Poetry用户：在pyproject.toml添加依赖覆盖：

[tool.poetry.dependency-overrides]
pyarrow = "14.0.1"

• pip用户：创建constraints.txt文件：

pyarrow==14.0.1

安装时执行：pip install -r requirements.txt -c constraints.txt

升级后必须验证核心功能（如数据管道执行、Parquet读写）是否正常，部分旧版Beam可能与新版PyArrow存在兼容性问题，需通过单元测试和集成测试确认。

2. 使用Apache Beam的漏洞修复分支 #

检查Apache Beam官方仓库是否有针对该漏洞的backport补丁分支，若存在可直接依赖该分支：

apache-beam = { git = "https://github.com/apache/beam.git", branch = "pyarrow-vulnerability-fix" }

（注：实际分支名需以官方仓库为准）

3. 替换PyArrow为替代库（场景受限） #

若你的Beam管道仅使用PyArrow的基础Parquet读写功能，可切换至fastparquet替代：

from apache_beam.io.parquetio import ReadFromParquet

with beam.Pipeline() as p:
    data = p | ReadFromParquet(
        file_pattern="path/to/parquet",
        use_fastparquet=True
    )

此方法仅适用于不需要PyArrow高级功能的场景，需确认业务需求不受影响。

4. 向Apache Beam社区提交依赖升级PR #

若上述方法均不可行，可主动向Apache Beam社区提交PR，将其依赖的PyArrow版本升级至14.0.1，等待官方合并后使用正式修复版本。

内容的提问来源于stack exchange，提问作者Sumit Desai