收到WSO2安全团队安全公告后 WSO2 EI等产品安全修复步骤咨询

• 第一步：确认影响范围
  先核对当前部署的WSO2 EI准确版本，打开产品根目录下的RELEASE-NOTES.txt即可查看版本信息，对照安全公告标注的受影响版本范围，确认你的实例是否需要修复，若不在影响范围内做好记录即可。
• 第二步：全量环境备份
  停止待修复的WSO2 EI服务，对整个产品根目录、关联的配置数据库、自定义开发的集成部署包（car包）、历史日志目录做全量备份，避免补丁操作异常导致业务中断。
• 第三步：补丁校验
  从官方正规渠道获取对应版本的安全补丁包后，先做完整性校验，确认补丁包未损坏或被篡改。
• 第四步：补丁部署
  常规WSO2补丁的部署逻辑是将补丁包内的.jar文件复制到产品根目录下的repository/components/dropins目录；若补丁包含配置文件更新，需对照你现有已修改的配置项做内容合并，不要直接全量覆盖，避免丢失自定义的端口、数据源、权限等配置。
• 第五步：测试环境验证
  补丁部署完成后先在测试环境启动服务，查看repository/logs/wso2carbon.log启动日志是否有ERROR级报错，确认服务正常启动后，验证运行在EI上的核心集成接口、定时任务、消息流转等业务场景无功能异常。
• 第六步：生产环境灰度发布
  测试环境验证通过后，先在生产环境的少量灰度节点部署补丁，观察1-2天的运行日志和业务指标，确认无性能下降、报错、业务异常问题后，再全量部署到所有生产节点。
• 第七步：操作存档
  补丁部署完成后，将本次补丁的相关说明、操作记录、验证结果存档，方便后续审计或问题排查溯源。

注意事项 #

• 若安全公告明确要求需升级WSO2产品版本，要提前做好版本兼容性适配，自定义开发的组件、集成包都要在新版本测试通过后再执行生产升级操作。
• 不要使用非官方来源的补丁包，避免引入恶意代码或兼容性问题。

内容的提问来源于stack exchange，提问作者Justin