Spring Boot 2.7.1依赖spring-core 5.3.21存漏洞如何修复？

• 首先核实漏洞真实性，排除扫描器误报
  先拿到扫描器提示的具体CVE编号，核对Spring官方发布的安全公告确认该CVE的真实影响版本范围、触发条件。绝大多数商用/开源漏洞扫描器是基于jar包版本号的正则匹配做风险告警，不会校验项目实际是否用到漏洞对应的攻击面，也不会跟进官方的漏洞修复说明调整规则，很容易出现把未受影响版本误判为风险、甚至把不存在的假漏洞报成高危的情况。
• 优先通过升级Spring Boot补丁版本修复，避免单包升级兼容问题
  你当前使用的spring-boot-starter-parent 2.7.1是2.7.x线的早期版本，Spring Boot的父POM已经统一管理了所有Spring生态组件的兼容版本，不要直接在依赖里单独硬写spring-core的版本号，优先升级到2.7.x线的最新正式补丁版，这类小版本升级不会改API兼容性，会同步把绑定的Spring Framework版本（包含spring-core）升级到官方确认修复已知CVE的版本，不会出现版本混装导致的启动报错、运行异常问题。
• 若暂时无法升级Spring Boot版本，通过Maven属性统一覆盖Spring版本
  确需保留当前Spring Boot版本的，在pom.xml的properties节点中统一指定spring-framework.version属性为官方修复版本，不要单独只改spring-core的依赖版本，避免spring-beans、spring-context、spring-aop等同属Spring Framework的组件版本不匹配。配置示例如下：

  <properties>
      <!-- 统一覆盖所有Spring核心组件版本，保证版本一致性 -->
      <spring-framework.version>官方发布的对应CVE修复版本号</spring-framework.version>
  </properties>
  

• 验证修复效果，排除传递依赖风险
  配置修改完成后，执行mvn dependency:tree -Dincludes=org.springframework:spring-core命令，查看最终打包构建时引入的spring-core实际版本，确认没有其他第三方依赖传递引入旧版本的风险包；如果存在传递引入的旧版本，在对应依赖的配置中添加exclusion规则排除旧包。
  版本确认无误后重新触发漏洞扫描，同时验证项目核心功能（容器启动、Bean注入、Web接口调用等）正常，避免版本调整带来的兼容问题。
• 针对官方暂未发布修复版本的特殊场景处置
  如果核对后确认当前最新版spring-core确实存在未修复的CVE，不要使用第三方私自修改的非官方修补包，优先参考官方给出的临时缓解方案，通过配置关闭漏洞触发入口、移除项目中存在风险的功能调用路径；如果确认项目未使用该CVE对应的攻击面（比如漏洞关联Web模块但项目为纯非Web应用、未引入对应依赖组件），可以在漏洞管理平台提交误报申诉，附上官方公告说明、项目依赖排查记录作为证明材料，满足项目合规要求。

内容的提问来源于stack exchange，提问作者daph111