Spring5无需外置开箱工具生成PDF的可行性及Jasper Report漏洞相关问询

Spring 5 框架自身没有内置原生的PDF生成能力，完全不依赖Spring生态外的第三方工具不可能实现PDF生成需求。

Spring 5 仅在MVC视图层提供了PDF导出的抽象接口，没有内置任何PDF编码、渲染、导出的底层实现，所有PDF相关功能都需要对接第三方类库完成：

• Spring MVC内置的AbstractPdfView抽象类的默认实现直接依赖iText类库，你当前遇到的iText 2.1.7版本漏洞，可通过替换底层依赖而非重构整个导出逻辑的方式修复，不需要完全废弃现有Jasper Report方案
• Spring 生态自身没有封装任何独立的PDF生成开箱工具，所有PDF相关能力的底层实现都属于Spring生态外的第三方组件范畴

如果要规避iText 2.1.7的安全风险，可选择以下合规落地方式：

• 升级iText到无已知漏洞的高版本，商用场景需要注意高版本iText的AGPL协议约束，避免合规风险
• 替换底层PDF实现为Apache PDFBox，该组件使用Apache 2.0协议，可免费商用无安全风险，Spring生态已有成熟的适配扩展，改动成本极低
• 完全替换Jasper Report方案，使用Apache POI结合PDFBox实现自定义PDF导出，可完全脱离iText依赖

内容的提问来源于stack exchange，提问作者DEBENDRA DHINDA