CVE-2021-20289修复：RESTEasy版本选择与4.x迁移问题咨询

漏洞修复版本选择 #

• 该漏洞不需要强制升级到4.x版本。3.x维护分支已在3.15.2.Final版本完成漏洞修复，这个版本保留了完整的resteasy-jaxrs模块，和3.7.0版本API完全兼容，替换版本号即可完成漏洞修复，无代码改造工作量，是成本最低、风险最小的修复方案。
• NVD公告标注的升级到4.6.0.Final及以上版本的建议仅覆盖新分支，未提及旧维护分支的修复版本，属于公告信息不全，不需要作为唯一升级依据。

RESTEasy 4.x迁移踩坑解决方案 #

你遇到的类找不到问题是依赖缺失导致的，不是没有平滑迁移路径：

• 4.x版本拆分模块时，原resteasy-jaxrs中内置的MicroProfile Config相关实现没有放在核心模块中，你报错缺失的org/jboss/resteasy/microprofile/config/ResteasyConfigFactory类位于独立的resteasy-config-legacy兼容包内，resteasy-core-spi里的ConfigurationFactory是4.x新定义的配置SPI接口，和旧的ResteasyConfigFactory是接口和兼容实现的关系，不是类名替换。
• 4.x平滑迁移的正确依赖配置步骤：
  1. 移除pom中所有原3.x版本的resteasy-jaxrs、resteasy-client依赖
  2. 引入拆分后的核心模块与兼容依赖，示例配置如下：

  <!-- 4.x核心模块 -->
  <dependency>
      <groupId>org.jboss.resteasy</groupId>
      <artifactId>resteasy-core-spi</artifactId>
      <version>4.7.4.Final</version>
  </dependency>
  <dependency>
      <groupId>org.jboss.resteasy</groupId>
      <artifactId>resteasy-core</artifactId>
      <version>4.7.4.Final</version>
  </dependency>
  <dependency>
      <groupId>org.jboss.resteasy</groupId>
      <artifactId>resteasy-client-api</artifactId>
      <version>4.7.4.Final</version>
  </dependency>
  <dependency>
      <groupId>org.jboss.resteasy</groupId>
      <artifactId>resteasy-client</artifactId>
      <version>4.7.4.Final</version>
  </dependency>
  <!-- 3.x兼容依赖，解决ResteasyConfigFactory类找不到问题 -->
  <dependency>
      <groupId>org.jboss.resteasy</groupId>
      <artifactId>resteasy-config-legacy</artifactId>
      <version>4.7.4.Final</version>
  </dependency>
  

  3. 原3.x版本绑定在resteasy-jaxrs中的序列化、表单处理等扩展能力，在4.x中都拆成了独立的provider模块，如果你项目用到Jackson序列化、JAXB解析等能力，需要对应引入resteasy-jackson2-provider、resteasy-jaxb-provider等独立依赖，核心包默认不携带这些组件。

方案选型建议：无明确4.x新特性需求的场景，优先选择升级到3.15.2.Final修复漏洞，避免不必要的依赖调整风险；有长期版本迭代规划的场景，按照上述依赖调整方式即可完成平滑迁移，不需要修改业务代码。

内容的提问来源于stack exchange，提问作者WesternGun