com.h2database:h2@2.1.214漏洞咨询：无修复版本该如何应对？

是否需要停止使用H2数据库？ #

分场景判断：

• 开发/测试环境：不用急着停用，但必须做临时防护措施降低风险
• 生产环境：建议优先考虑替换为更安全的成熟数据库（如PostgreSQL、MySQL），毕竟生产环境涉及敏感数据，该漏洞属于明文存储敏感信息，风险等级较高（CVSS预评7.8）

无官方修复版本时的临时缓解措施 #

• 禁用H2的敏感配置自动写入：修改连接URL，关闭DB_CLOSE_ON_EXIT参数，避免数据库配置明文存储到本地文件
• 严格限制H2数据文件的访问权限：给存放H2数据库文件的目录设置最小权限，仅允许运行应用的系统用户读写，禁止其他用户访问
• 避免在H2中存储敏感数据：密码、密钥、用户隐私信息这类敏感内容，不要存在H2里，改用加密配置中心或专门的密钥管理服务存储
• 启用H2数据库加密：在连接URL中添加CIPHER=AES参数，给数据库文件加密，同时确保加密密钥的安全存储
• 尝试使用快照版本：去H2的代码仓库看看有没有修复该漏洞的快照构建版本，测试验证后可以临时替代正式版使用

内容的提问来源于stack exchange，提问作者Sakib X Hossain