Spring Boot 2.7 EOL后无法升级3.0，添加Spring Framework BOM是否为最佳实践？

核心结论 #

对于短期内无法升级到Spring Boot 3.0的项目，额外引入Spring Framework 5.3的BOM依赖是可接受的临时缓解方案，但绝非长期的良好实践。

具体分析 #

• 合理性所在
  Spring Boot 2.7的非商用支持已于2023年11月24日终止，但其底层依赖的Spring Framework 5.3支持要到2024年12月31日才结束。通过在org.springframework.boot:spring-boot-dependencies:2.7.x之外添加Spring Framework BOM（如org.springframework:spring-framework-bom:5.3.x），可以自动将Spring体系内的组件同步到最新的维护版本，快速覆盖Spring Framework已修复的漏洞，无需手动逐个调整Spring相关组件的版本，能在一定程度上降低安全风险。

• 不可忽视的局限性

  • 该方式仅能覆盖Spring Framework相关的依赖，spring-boot-dependencies中包含的大量第三方组件（比如Tomcat、Jackson、Jedis等）的漏洞无法通过这种方式解决，这些组件的版本仍需手动追踪并升级，维护成本依然很高。
  • 这只是权宜之计，无法替代升级到Spring Boot 3.x的核心动作——Spring Boot 2.7的整体生态支持已经终止，后续不会再有官方针对其依赖体系的统一维护，项目面临的安全风险会随时间推移逐渐增加。

• 实施注意事项

  • 引入BOM时必须确保版本与Spring Boot 2.7兼容，选择Spring Framework 5.3系列的最高维护版本，避免出现版本冲突导致的兼容性问题。
  • 要持续监控项目依赖的安全漏洞状态，一旦资源和条件允许，应立即启动Spring Boot 3.0的升级计划，从根源上解决支持终止带来的问题。

内容的提问来源于stack exchange，提问作者chkpnt