Gradle中强制netty-codec-http传递依赖版本无效的问题求助

我尝试将netty-codec-http库的版本指定为4.1.100.Final，因为OWASP依赖检查器标记所有netty*依赖为高风险（HIGH）。该依赖由Amazon S3依赖引入，我的build.gradle文件如下：

plugins {
    id 'java'
    id 'org.springframework.boot' version '2.7.16'
    id 'io.spring.dependency-management' version '1.0.15.RELEASE'
    id "org.owasp.dependencycheck" version "8.2.1"
}

group = 'com.test'
version = '0.0.1-SNAPSHOT'

java {
    sourceCompatibility = '11'
}

repositories {
    mavenCentral()
}

configurations.all {
    resolutionStrategy {
        force 'io.netty:netty-codec-http:4.1.100.Final'
    }
}

dependencies {
    implementation 'org.springframework.boot:spring-boot-starter'
    testImplementation 'org.springframework.boot:spring-boot-starter-test'
    implementation platform("software.amazon.awssdk:bom:2.21.0")
    implementation "software.amazon.awssdk:sdk-core"
    implementation "software.amazon.awssdk:s3"
    implementation "software.amazon.awssdk:route53"
    implementation "software.amazon.awssdk:route53resolver"
}

tasks.named('test') {
    useJUnitPlatform()
}

我已按AWS官方文档配置Gradle中的AWS SDK，但依赖检查器仍显示版本为4.1.97.Final并标记为高风险，使用命令./gradlew dependencyCheckAnalyze生成OWASP报告。

解决方法 #

1. 覆盖Spring Boot依赖管理的版本 #

Spring Boot的dependency-management插件优先级高于普通的resolutionStrategy.force，需要在依赖管理块中显式指定Netty版本，确保所有相关模块都被统一升级：

dependencyManagement {
    imports {
        mavenBom "org.springframework.boot:spring-boot-dependencies:2.7.16"
        mavenBom "software.amazon.awssdk:bom:2.21.0"
    }
    dependencies {
        // 强制所有核心Netty模块版本
        dependency "io.netty:netty-common:4.1.100.Final"
        dependency "io.netty:netty-buffer:4.1.100.Final"
        dependency "io.netty:netty-transport:4.1.100.Final"
        dependency "io.netty:netty-handler:4.1.100.Final"
        dependency "io.netty:netty-codec-http:4.1.100.Final"
    }
}

2. 验证依赖树是否生效 #

执行以下命令查看实际依赖解析结果，确认Netty版本已被替换：

./gradlew dependencies --configuration implementation | grep netty

如果输出中所有Netty模块都是4.1.100.Final，说明版本强制已生效，问题可能出在OWASP缓存。

3. 清理OWASP依赖检查缓存 #

OWASP Dependency Check会缓存依赖的漏洞信息，旧版本的缓存可能导致报告显示错误版本。执行以下命令清理缓存后重新生成报告：

./gradlew dependencyCheckPurge
./gradlew dependencyCheckAnalyze

4. 检查是否遗漏Netty子模块 #

OWASP标记的高风险可能涉及多个Netty子模块，不仅仅是netty-codec-http。确保所有引入的Netty模块都被强制升级到安全版本，避免遗漏导致漏洞报告仍触发。

内容的提问来源于stack exchange，提问作者Muhammad Towfique Imam