如何在Spring Boot 2.7.3中升级SnakeYaml至1.31版本？

可行，这是修复对应安全漏洞的合理方案，具体说明如下：

兼容性说明 #

Spring Boot 2.7.x系列官方已验证过SnakeYaml 1.31的兼容性——Spring Boot 2.7.10及后续版本已默认将SnakeYaml升级至1.31，说明该版本与Spring Boot 2.7.3的核心组件不存在冲突。

漏洞修复匹配 #

SnakeYaml 1.31版本针对性修复了1.30版本中的安全漏洞，完全覆盖你提到的漏洞类型，能够满足Fortify的合规检测要求。

具体升级配置 #

Maven项目 #

在pom.xml的dependencyManagement中覆盖版本即可，无需手动排除旧版本（Spring Boot父依赖会自动使用指定的新版本）：

<dependencyManagement>
    <dependencies>
        <dependency>
            <groupId>org.yaml</groupId>
            <artifactId>snakeyaml</artifactId>
            <version>1.31</version>
        </dependency>
    </dependencies>
</dependencyManagement>

Gradle项目 #

通过修改版本属性覆盖：

ext['snakeyaml.version'] = '1.31'

注意事项 #

• 升级后需重点测试项目中涉及YAML解析的功能（如配置文件加载、接口YAML数据解析等），确保业务逻辑不受影响。
• SnakeYaml 1.30到1.31以漏洞修复为主，未引入破坏性API变更，升级风险极低。

内容的提问来源于stack exchange，提问作者Syed Rafi