Spring Boot 3.1.3环境下使用WebClient时如何消除netty-handler的漏洞

遇到这种既要用WebClient处理请求，又要解决Netty依赖漏洞的两难情况确实挺闹心的，我给你整理几个实际可行的解决方案，你可以根据自己的情况来选：

方案一：使用Spring Boot兼容的Netty安全补丁版本，而非直接升级到Netty 5.x #

直接跳去Netty 5.0.0.Alpha1肯定会出兼容性问题——毕竟Spring Boot 3.1.3的依赖体系还是基于Netty 4.x分支的，Alpha版本的Netty 5本身就不稳定，和Spring的生态适配也没做好，出现NoClassDefFoundError太正常了。

正确的做法是：查找Spring Boot 3.1.x官方支持的Netty分支下的安全补丁版本，通过Maven的依赖管理来覆盖默认版本。比如你可以在pom.xml的dependencyManagement节点里指定经过漏洞修复的Netty依赖版本：

<dependencyManagement>
    <dependencies>
        <!-- 替换成实际的安全版本号，比如Netty 4.1.94.Final（假设这个版本修复了漏洞） -->
        <dependency>
            <groupId>io.netty</groupId>
            <artifactId>netty-handler</artifactId>
            <version>4.1.94.Final</version>
        </dependency>
        <!-- 同步覆盖其他相关Netty依赖，保证版本一致 -->
        <dependency>
            <groupId>io.netty</groupId>
            <artifactId>netty-codec-http</artifactId>
            <version>4.1.94.Final</version>
        </dependency>
        <dependency>
            <groupId>io.netty</groupId>
            <artifactId>netty-transport</artifactId>
            <version>4.1.94.Final</version>
        </dependency>
    </dependencies>
</dependencyManagement>

这样既不用换嵌入式服务器，也能解决漏洞问题，还能保证和Spring Boot的兼容性，是最稳妥的方案。你可以去Netty的官方发布页或者漏洞平台确认哪个4.x版本修复了你遇到的漏洞。

方案二：保留Tomcat作为嵌入式服务器，同时保留Reactor Netty用于WebClient #

你之前的问题在于排除了spring-boot-starter-reactor-netty之后，WebClient失去了底层的客户端依赖——没错，WebClient确实依赖Reactor Netty作为客户端实现，但这不代表你必须用Netty做嵌入式服务器。

正确的依赖配置应该是：排除WebFlux starter里的Netty服务器依赖，然后单独引入Reactor Netty的客户端依赖。调整后的pom.xml大概是这样：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-webflux</artifactId>
    <exclusions>
        <!-- 只排除Netty作为嵌入式服务器的starter，保留客户端所需的依赖 -->
        <exclusion>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-reactor-netty</artifactId>
        </exclusion>
    </exclusions>
</dependency>
<!-- 引入Tomcat作为嵌入式服务器 -->
<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter-tomcat</artifactId>
</dependency>
<!-- 单独引入Reactor Netty客户端依赖，供WebClient使用 -->
<dependency>
    <groupId>io.projectreactor.netty</groupId>
    <artifactId>reactor-netty-http</artifactId>
</dependency>

至于你遇到的IOFileUploadException，大概率是Tomcat的Multipart配置不够导致的，你可以在application.properties里调整Tomcat的文件上传参数：

# 根据你的实际需求调整大小限制
spring.servlet.multipart.max-file-size=20MB
spring.servlet.multipart.max-request-size=20MB
spring.servlet.multipart.enabled=true

这样既用Tomcat做服务器，又能正常使用WebClient，同时你还可以通过方案一的方式，给Reactor Netty依赖的Netty版本打安全补丁。

方案三：备选——使用RestTemplate（不推荐） #

如果上面的方案都走不通，你可以考虑暂时切换到RestTemplate作为HTTP客户端，但要注意：RestTemplate是同步客户端，Spring官方已经不再推荐使用它，未来的版本可能会逐步淘汰，所以这只是应急的备选方案，不建议长期使用。

备注：内容来源于stack exchange，提问作者Johnk