1.背景

版本比對檢測原理：檢查當(dāng)前系統(tǒng)中spring-security-web版本是否在漏洞版本范圍內(nèi)|版本比對檢測結(jié)果：- spring-security-web

當(dāng)前安裝版本：5.2.1.RELEASE

需要升級到 5.5.7、5.6.4 及以上版本，因為pom中找不到直接引用的位置，所以加入以下依賴將spring-security-web版本強(qiáng)制升級到5.5.7

    <!-- 修復(fù)spring-security-web版本漏洞 -->
    <dependency>
        <groupId>org.springframework.security</groupId>
        <artifactId>spring-security-web</artifactId>
        <version>5.5.7</version>
    </dependency>

啟動時報錯，報錯內(nèi)容如下：

***************************
APPLICATION FAILED TO START
***************************

Description:

An attempt was made to call a method that does not exist. The attempt was made from the following location:

    org.springframework.security.web.util.matcher.OrRequestMatcher.<init>(OrRequestMatcher.java:43)

The following method did not exist:

    org.springframework.util.Assert.noNullElements(Ljava/util/Collection;Ljava/lang/String;)V

The method's class, org.springframework.util.Assert, is available from the following locations:

    jar:file:/C:/Users/sutpc/.m2/repository/org/springframework/spring-core/5.1.18.RELEASE/spring-core-5.1.18.RELEASE.jar!/org/springframework/util/Assert.class

It was loaded from the following location:

    file:/C:/Users/sutpc/.m2/repository/org/springframework/spring-core/5.1.18.RELEASE/spring-core-5.1.18.RELEASE.jar

2.原因分析

可以發(fā)現(xiàn)spring包版本不兼容導(dǎo)致該問題

理論上是spring-security-web是在某一個jar引入

單獨(dú)改了spring-security-web的版本

導(dǎo)致這個jar中的配套代碼不兼容導(dǎo)致的問題

3.解決方式

將spring-boot-dependencies的2.1.17.RELEASE升級到2.2.2.RELEASE
            <!-- SpringBoot的依賴配置-->
            <dependency>
                <groupId>org.springframework.boot</groupId>
                <artifactId>spring-boot-dependencies</artifactId>
<!--                <version>2.1.17.RELEASE</version>-->
                <version>2.2.2.RELEASE</version>
                <type>pom</type>
                <scope>import</scope>
            </dependency>
在pom的最后直接使用spring-security-web的5.5.7強(qiáng)制覆蓋版本即可
        <!-- 修復(fù)spring-security-web版本漏洞 -->
        <dependency>
            <groupId>org.springframework.security</groupId>
            <artifactId>spring-security-web</artifactId>
            <version>5.5.7</version>
        </dependency>

4.解決思路

因為單獨(dú)改了spring-security-web的版本

導(dǎo)致這個jar中的配套代碼不兼容導(dǎo)致的問題

所以首要問題需要找到spring-security-web由哪個jar引入的

4.1查詢Maven 項目查找 jar 包是由哪個依賴引入的

直接使用mvn dependency:tree可以查看項目完整的依賴樹。

1.命令格式

mvn dependency:tree -Dverbose -Dincludes=要查詢的內(nèi)容(groupId:artifactId)

• -dependency:tree：表示樹狀顯示。
• -Dverbose：表示可以顯示所有的引用，包括因為多次引用重復(fù)而忽略的。
• -Dincludes：可以制定查詢條件

spring-security-web的groupId和artifactId為：

groupId: org.springframework.security
artifactId: spring-security-web
所以命令為
mvn dependency:tree -Dverbose -Dincludes=org.springframework.security:spring-security-web

4.2在idea的Teminal中執(zhí)行之后依賴層級如下圖

4.3spring-security-web是由spring-boot-starter-security引入的

spring-security-web是由spring-boot-starter-security引入的

版本是2.1.17.RELEASE

搜spring-boot-starter-security發(fā)現(xiàn)又是使用的spring-boot-dependencies-2.1.17.RELEASE.pom的版本

4.4spring-boot-starter-security版本是繼承spring-boot-dependencies的版本

在全局搜spring-boot-dependencies的版本，

發(fā)現(xiàn)果然是2.1.17.RELEASE，到此，所有的依賴層級都找到了，

那開始猜，是不是spring-boot-dependencies版本太低了，

spring-security-web的版本太高了導(dǎo)致的不兼容，

spring-security-web版本不能調(diào)低，只能升級spring-boot-dependencies的版本，

在maven倉庫查找spring-boot-dependencies版本，

逐級測試，發(fā)現(xiàn)2.2.2.RELEASE可以支持，所以問題到此解決.

參考:Maven 項目查找 jar 包是由哪個依賴引入的

總結(jié)

以上為個人經(jīng)驗，希望能給大家一個參考，也希望大家多多支持腳本之家。

最新評論