快捷導(dǎo)航

pom.xml中解決Provides?transitive?vulnerable?dependency?maven:org.yaml:snakeyaml:1.33警告問(wèn)題

更新時(shí)間：2023年06月30日 11:00:39 作者：吃青椒的秋草鸚鵡

這篇文章主要介紹了在pom.xml中如何解決Provides?transitive?vulnerable?dependency?maven:org.yaml:snakeyaml:1.33警告問(wèn)題,需要的朋友可以參考下

警告出現(xiàn)

構(gòu)建springboot3項(xiàng)目時(shí)，pom文件的spring-boot-starter-web依賴部分整體高亮，

顯示Provides transitive vulnerable dependency maven:org.yaml:snakeyaml:1.33

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-web</artifactId>
        </dependency>

警告原因

這個(gè)警告提示我們的Maven項(xiàng)目中使用了一個(gè)被認(rèn)為是有漏洞的依賴項(xiàng)，并且這個(gè)依賴項(xiàng)也被其他依賴項(xiàng)所傳遞。

具體來(lái)說(shuō)，這個(gè)警告是指：

在我們的pom文件中，org.yaml:snakeyaml:1.33這個(gè)庫(kù)是存在漏洞的。

解決警告

1.升級(jí)依賴項(xiàng)

嘗試升級(jí)依賴項(xiàng)版本，如果有更新的版本可用，則可能已經(jīng)修復(fù)了該漏洞，

去中央倉(cāng)庫(kù)搜索此依賴可以看見(jiàn)最新的版本是2.0，并且它沒(méi)有紅字漏洞警告，說(shuō)明2.0版本已經(jīng)解決了這個(gè)漏洞。（當(dāng)前日期為2023.03.31）

既然在新版本中，這個(gè)依賴已經(jīng)解決了漏洞，那么我們可以升級(jí)依賴項(xiàng)版本

在Maven項(xiàng)目中，可以使用dependencyManagement標(biāo)簽來(lái)管理依賴項(xiàng)。

在這個(gè)標(biāo)簽中，可以指定一個(gè)特定版本，以便所有依賴項(xiàng)都將使用這個(gè)版本

例如，將以下內(nèi)容添加到pom文件中

    <dependencyManagement>
        <dependencies>
            <dependency>
                <groupId>org.yaml</groupId>
                <artifactId>snakeyaml</artifactId>
                <version>2.0</version>
            </dependency>
        </dependencies>
    </dependencyManagement>

這將確保所有使用snakeyaml庫(kù)的依賴項(xiàng)都使用指定的2.0版本，而不是使用其他版本。如果有可用的更高版本，可以選擇將版本號(hào)更新為最新版本。

2.移除依賴項(xiàng)

如果這個(gè)庫(kù)不是必須的，你可以考慮從你的項(xiàng)目中移除它。

例如嘗試移除spring-boot-starter-web依賴中的snakeyaml依賴

        <dependency>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter</artifactId>
            <exclusions>
                <exclusion>
                    <groupId>org.yaml</groupId>
                    <artifactId>snakeyaml</artifactId>
                </exclusion>
            </exclusions>
        </dependency>

3.忽略警告

如果你確定你的代碼和應(yīng)用程序環(huán)境能夠安全地處理這個(gè)漏洞，你可以選擇忽略警告，但這并不是一種推薦的做法。

到此這篇關(guān)于pom.xml中解決Provides transitive vulnerable dependency maven:org.yaml:snakeyaml:1.33警告問(wèn)題的文章就介紹到這了,更多相關(guān)pom.xml中解決snakeyaml:1.33警告內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！

您可能感興趣的文章: