CentOS YUM仓库中的软件包是否安全？

我完全理解你看到软件包版本和上游最新版差距悬殊时的顾虑——毕竟直觉上总觉得“版本越新越安全”，但对于CentOS这类基于RHEL的发行版，得换个角度看待版本号和安全性的关系。

先搞懂RHEL/CentOS的“向后移植”机制 #

像RedHat官方提到的那样，CentOS作为RHEL的兼容衍生版，并不会盲目跟进上游软件的大版本升级。取而代之的是向后移植（Backporting）：把上游最新版本中修复的安全漏洞、关键bug，移植到当前稳定的旧版本包中。这样做的好处是，既能保持系统整体的兼容性（不会因为大版本升级打破依赖链），又能确保软件包的安全性。

也就是说，你看到的“老版本”，其实是经过官方维护、已经打上了必要安全补丁的稳定版本，和上游未打补丁的同版本完全不是一回事。

针对firewalld的具体疑问 #

你提到firewalld在CentOS7 repo里是0.6.3版本，上游已经到2.0.0，且最后一次backport在2021年。这种情况不用过度焦虑：

• 官方停止对这个版本的补丁移植，往往是因为上游后续发现的漏洞并不影响0.6.3这个分支，或者这些漏洞的危害程度极低，不值得移植；
• 你的内部扫描工具没有告警，这是关键信号——专业的漏洞扫描工具会识别CentOS的补丁机制，它们不会只对比版本号，而是会检查当前包是否已经修复了已知的CVE漏洞。扫描没报错，就说明这个包在当前环境下是安全的。

关于你使用的仓库安全性 #

你列出的这些仓库都是可信的：

• base、updates、extras是CentOS官方维护的核心仓库，所有包都经过严格的安全审核和补丁移植；
• epel是红帽社区维护的扩展仓库，同样遵循RHEL的安全维护标准；
• MySQL、Percona的官方社区仓库，也会针对对应版本的软件提供适配CentOS的安全补丁，只要你是从官方渠道添加的仓库，就无需担心包的来源安全。

给你的几点建议 #

• 继续保持定期执行yum update，确保及时获取官方推送的所有安全补丁——这是保障系统安全最基础也最有效的方式；
• 如果对某个特定包的安全性存疑，可以去CentOS官方的漏洞数据库查询对应的CVE编号，确认该版本是否已经修复了相关漏洞；
• 不要轻易尝试用上游最新版替换CentOS repo里的包，大版本升级很可能会破坏系统依赖，反而引入兼容性问题甚至未知的安全风险。

备注：内容来源于stack exchange，提问作者JanderZift