Spring Boot 3 bootBuildImage构建镜像含Golang组件引发CVE的解决方法

Spring Boot的bootBuildImage默认使用Paketo Buildpacks，部分辅助工具或依赖组件基于Golang开发，这会导致镜像中带入Golang相关文件并触发CVE扫描告警。以下是几种可行的解决办法：

1. 仅指定Java专属Buildpack #

通过配置明确只使用Paketo的Java Buildpack，排除所有无关的Buildpack（包括Golang相关的）。

Maven配置 #

在pom.xml的spring-boot-maven-plugin中添加如下配置：

<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <configuration>
        <image>
            <buildpacks>
                <buildpack>paketo-buildpacks/java</buildpack>
            </buildpacks>
        </image>
    </configuration>
</plugin>

Gradle配置 #

在build.gradle中添加：

bootBuildImage {
    buildpacks = ["paketo-buildpacks/java"]
}

命令行临时配置 #

• Maven：

  mvn spring-boot:build-image -Dspring-boot.build-image.buildpacks=paketo-buildpacks/java
  

• Gradle：

  ./gradlew bootBuildImage --build-image-buildpacks=paketo-buildpacks/java
  

2. 使用精简版Builder镜像 #

Paketo提供了仅包含Java基础组件的builder镜像，避免带入额外工具链。指定paketobuildpacks/builder-jammy-base作为构建镜像：

Maven命令 #

mvn spring-boot:build-image -Dspring-boot.build-image.builder=paketobuildpacks/builder-jammy-base

Gradle命令 #

./gradlew bootBuildImage --builder=paketobuildpacks/builder-jammy-base

3. 禁用原生镜像构建（若未使用） #

如果你的项目不需要Spring Native原生镜像，可通过环境变量禁用相关构建流程，避免引入Golang原生编译工具：

Maven配置 #

<plugin>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-maven-plugin</artifactId>
    <configuration>
        <image>
            <env>
                <BP_NATIVE_IMAGE>false</BP_NATIVE_IMAGE>
            </env>
        </image>
    </configuration>
</plugin>

Gradle配置 #

bootBuildImage {
    environment = ["BP_NATIVE_IMAGE": "false"]
}

4. 使用最新版Java Buildpack #

确保使用的Paketo Java Buildpack是最新稳定版，新版本通常会移除冗余依赖或修复已知CVE。可指定具体版本的Buildpack，例如：

// Gradle示例
bootBuildImage {
    buildpacks = ["paketo-buildpacks/java:7.15.0"] // 替换为最新版本号
}

注意：如果之前配置Buildpack未生效，大概率是因为没有完全覆盖默认的Buildpack集合。上述配置会强制仅使用指定的Java Buildpack，不会引入任何Golang相关组件。

内容的提问来源于stack exchange，提问作者Tal Beradt