排查spring-messaging依赖来源并向安全团队说明未使用情况

一、定位spring-messaging的引入来源 #

直接用Maven的依赖树命令就能精准找出间接依赖链：

• 执行命令：mvn dependency:tree -Dincludes=org.springframework:spring-messaging
• 命令输出会展示完整的依赖层级，比如类似这样的结果：

  [INFO] com.example:demo:jar:0.0.1-SNAPSHOT
  [INFO] \- org.springframework.boot:spring-boot-starter-websocket:jar:1.3.8.RELEASE:compile
  [INFO]    \- org.springframework:spring-messaging:jar:4.2.6.RELEASE:compile
  

  从缩进层级能直接看出，spring-messaging是被spring-boot-starter-websocket这类starter间接引入的（常见的引入starter还包括spring-boot-starter-messaging）。

二、排查是否存在无意识的类使用 #

1. 用Maven检测未使用依赖：
   执行mvn dependency:analyze，命令输出会标记Unused declared dependencies和Used undeclared dependencies，如果spring-messaging属于前者，说明代码里确实没用到它的类。
2. IDE全局搜索验证：
   在IntelliJ/Eclipse中，全局搜索org.springframework.messaging包下的所有类，检查是否有代码直接或间接引用（比如通过反射、框架自动装配等场景）。

三、向安全团队的解释与修复建议 #

• 明确说明：spring-messaging是Spring Boot Starter带来的间接依赖，并非项目主动引入；
• 强调漏洞范围：该漏洞仅影响使用STOMP协议的系统，当前项目未启用STOMP相关功能，不存在漏洞触发条件；
• 修复方案：如果需要彻底消除安全顾虑，可通过升级Spring Boot版本（对应spring-messaging的修复版本：4.3.16.RELEASE对应Spring Boot 1.5.13.RELEASE，5.0.5.RELEASE对应Spring Boot 2.0.1.RELEASE），间接将spring-messaging升级到安全版本；也可以在pom.xml中直接排除该依赖（需确认排除后项目无运行异常）：

  <dependency>
      <groupId>org.springframework.boot</groupId>
      <artifactId>spring-boot-starter-websocket</artifactId>
      <exclusions>
          <exclusion>
              <groupId>org.springframework</groupId>
              <artifactId>spring-messaging</artifactId>
          </exclusion>
      </exclusions>
  </dependency>
  

内容的提问来源于stack exchange，提问作者lecarpetron dookmarion