警告出现
构建springboot3项目时,pom文件的spring-boot-starter-web依赖部分整体高亮,
显示Provides transitive vulnerable dependency maven:org.yaml:snakeyaml:1.33
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
警告原因
这个警告提示我们的Maven项目中使用了一个被认为是有漏洞的依赖项,并且这个依赖项也被其他依赖项所传递。
具体来说,这个警告是指:
在我们的pom文件中,org.yaml:snakeyaml:1.33这个库是存在漏洞的。
解决警告
1.升级依赖项
尝试升级依赖项版本,如果有更新的版本可用,则可能已经修复了该漏洞,
去中央仓库搜索此依赖可以看见最新的版本是2.0,并且它没有红字漏洞警告,说明2.0版本已经解决了这个漏洞。(当前日期为2023.03.31)
既然在新版本中,这个依赖已经解决了漏洞,那么我们可以升级依赖项版本
在Maven项目中,可以使用dependencyManagement标签来管理依赖项。
在这个标签中,可以指定一个特定版本,以便所有依赖项都将使用这个版本
例如,将以下内容添加到pom文件中
<dependencyManagement>
<dependencies>
<dependency>
<groupId>org.yaml</groupId>
<artifactId>snakeyaml</artifactId>
<version>2.0</version>
</dependency>
</dependencies>
</dependencyManagement>
这将确保所有使用snakeyaml库的依赖项都使用指定的2.0版本,而不是使用其他版本。如果有可用的更高版本,可以选择将版本号更新为最新版本。
2.移除依赖项
如果这个库不是必须的,你可以考虑从你的项目中移除它。
例如尝试移除spring-boot-starter-web依赖中的snakeyaml依赖文章来源:https://www.toymoban.com/news/detail-422557.html
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter</artifactId>
<exclusions>
<exclusion>
<groupId>org.yaml</groupId>
<artifactId>snakeyaml</artifactId>
</exclusion>
</exclusions>
</dependency>
3.忽略警告
如果你确定你的代码和应用程序环境能够安全地处理这个漏洞,你可以选择忽略警告,但这并不是一种推荐的做法。文章来源地址https://www.toymoban.com/news/detail-422557.html
到了这里,关于pom.xml中解决Provides transitive vulnerable dependency maven:org.yaml:snakeyaml:1.33警告的文章就介绍完了。如果您还想了解更多内容,请在右上角搜索TOY模板网以前的文章或继续浏览下面的相关文章,希望大家以后多多支持TOY模板网!