Spring Boot 2.7.7升级及CVE漏洞修复相关技术咨询

1. 如何判断Spring Boot 2.7.7是否受CVE-2022-22965漏洞影响？ #

• Spring Boot 2.7.7默认依赖的Spring Framework版本是5.3.24，而CVE-2022-22965要求至少升级至Spring Framework 5.2.22，5.3.24版本已满足要求，因此Spring Boot 2.7.7不受该漏洞影响。
• 也可通过Maven命令验证实际依赖版本：执行 mvn dependency:tree | grep org.springframework:spring-core，输出的版本号即为当前项目使用的Spring Framework核心版本，直接与漏洞要求版本对比即可。

2. 升级到Spring Boot 5.x时父POM无法解析、注解无法解析的问题 #

• 首先明确：Spring Boot目前不存在5.x版本，最高稳定版为3.x系列。你混淆了Spring Framework和Spring Boot的版本号——CVE要求的是Spring Framework 5.2.22，而Spring Boot 2.x本身就依赖Spring Framework 5.x，完全不需要升级到不存在的Spring Boot 5.x。
• 父POM无法解析的原因是中央仓库根本没有spring-boot-starter-parent:pom:5.2.22这个构件，你错误地将Spring Framework的版本号当成了Spring Boot的版本。
• 注解无法解析是因为依赖版本混乱：比如你当前POM中spring-boot-starter-data-jpa使用了3.1.2版本（对应Spring Boot 3.x），但父POM是2.7.7，跨大版本的依赖混合必然导致冲突。

3. Spring Initializr如何自定义Spring Boot版本创建Maven项目 #

• 打开Spring Initializr页面后，在「Spring Boot」版本选择框中，点击下拉菜单底部的「Custom」选项，输入需要的具体版本号（如2.7.7），再继续配置项目信息即可生成对应Maven项目。
• 若使用IDEA或Eclipse的内置Initializr插件，同样在版本选择处找到自定义输入入口，或直接修改生成后的POM.xml中的父版本号。

额外疑问："Spring Boot 2.0 builds on and requires Spring Framework 5." 是否意味着无需升级？ #

是的，Spring Boot 2.x全系列都依赖Spring Framework 5.x，你的Spring Boot 2.7.7对应的Spring Framework版本是5.3.24，已经满足CVE-2022-22965要求的最低版本，因此完全不需要升级Spring Boot版本，也无需单独升级Spring Framework（Spring Boot父POM已自动管理依赖版本）。

修正后的POM.xml说明 #

你的当前POM存在两处关键问题，需修正：

1. spring-boot-starter-data-jpa手动指定的3.1.2版本与父POM 2.7.7不兼容，应去掉版本号，由父POM统一管理。
2. 重复引入MySQL驱动，保留com.mysql:mysql-connector-j即可，移除旧的mysql:mysql-connector-java依赖。

修正后的完整POM：

<?xml version="1.0" encoding="UTF-8"?>
<project xmlns="http://maven.apache.org/POM/4.0.0" xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"
    xsi:schemaLocation="http://maven.apache.org/POM/4.0.0 https://maven.apache.org/xsd/maven-4.0.0.xsd">
    <modelVersion>4.0.0</modelVersion>
    <parent>
        <groupId>org.springframework.boot</groupId>
        <artifactId>spring-boot-starter-parent</artifactId>
        <version>2.7.7</version>
        <relativePath/> <!-- lookup parent from repository -->
    </parent>
    <groupId>com.Simple_Microservice</groupId>
    <artifactId>reco_API</artifactId>
    <version>0.0.1-SNAPSHOT</version>
    <packaging>war</packaging>
    <name>reco_API</name>
    <description>Solus Recommendation API</description>
    <properties>
        <java.version>1.8</java.version>
    </properties>
    <dependencies>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-data-jpa</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-actuator</artifactId>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
            <exclusions>
                <exclusion>
                    <artifactId>logback-classic</artifactId>
                    <groupId>ch.qos.logback</groupId>
                </exclusion>
                <exclusion>
                    <artifactId>log4j-over-slf4j</artifactId>
                    <groupId>org.slf4j</groupId>
                </exclusion>
            </exclusions>
        </dependency>

        <dependency>
            <groupId>com.mysql</groupId>
            <artifactId>mysql-connector-j</artifactId>
            <scope>runtime</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-tomcat</artifactId>
            <scope>provided</scope>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-test</artifactId>
            <scope>test</scope>
        </dependency>
        <dependency>
            <groupId>commons-lang</groupId>
            <artifactId>commons-lang</artifactId>
            <version>2.6</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter</artifactId>
            <exclusions>
                <exclusion>
                    <artifactId>logback-classic</artifactId>
                    <groupId>ch.qos.logback</groupId>
                </exclusion>
                <exclusion>
                    <artifactId>log4j-over-slf4j</artifactId>
                    <groupId>org.slf4j</groupId>
                </exclusion>
            </exclusions>
        </dependency>

        <dependency>
            <groupId>javax.xml.bind</groupId>
            <artifactId>jaxb-api</artifactId>
        </dependency>
        <dependency>
            <groupId>io.jsonwebtoken</groupId>
            <artifactId>jjwt</artifactId>
            <version>0.9.1</version>
        </dependency>
        <dependency>
            <groupId>org.glassfish</groupId>
            <artifactId>javax.json</artifactId>
            <version>1.0.4</version>
        </dependency>
        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-security</artifactId>
        </dependency>
        <dependency>
            <groupId>org.json</groupId>
            <artifactId>json</artifactId>
            <version>20210307</version>
        </dependency>
        <dependency>
            <groupId>org.owasp.esapi</groupId>
            <artifactId>esapi</artifactId>
            <version>2.2.3.1</version>
        </dependency>
    </dependencies>

    <build>
        <plugins>
            <plugin>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-maven-plugin</artifactId>
            </plugin>
        </plugins>
    </build>

</project>

内容的提问来源于stack exchange，提问作者Blesson Xavier