ActiveMQ 版本 5.16.0 存在易受攻击的依赖 jar

Question

我正在使用从 Apache 下载的 ActiveMQ 5.16.0 。 我看到一些 jars 是具有漏洞的旧版本，例如：

1. com.google.guava_guava 19.0
2. 核心杰克逊数据绑定 2.9.10.4
3. shiro核心1.5.3
4. log4j-1.2.17

我看到以上所有易受攻击的 jars 都位于apache-activemq-5.16.0\lib\optional\下。 optional目录下的jars有什么用？ 是否有任何最新版本的 ActiveMQ 具有所有最新的依赖项？

Answer 1

可选的依赖关系就是：可选的。

在您的案例中使用 Shiro 作为参考。

可选依赖项：通常，您引用的库的核心功能不需要可选依赖项。 在这种情况下，仅当您打算使用 Apache Shiro 特性或功能时才需要 Shiro。 Shiro 用于安全性，因此并非每个使用 ActiveMQ 的人都使用它是有道理的。

版本：很多时候（并非总是）可选的依赖版本不是一成不变的，可以使用较新的版本而不会破坏功能。 情况并非总是如此，因此如果您打算这样做，请从首选版本开始，并且仅在功能测试后才升级。

漏洞：仅仅因为存在漏洞，并不能使其适用于您的用例。 仅仅因为可以执行XYZ的依赖项中有一个已知漏洞，如果您的用例不使用XYZ ，它可能不会影响您。 诸如Apache Shiro之类的安全报告有助于理解这一点。

另外：我建议您为您的 Java 项目查看 Maven 或 Gradle。 这将消除一些需要担心这些类型的依赖管理问题，因为可选的依赖默认不包含在依赖层次结构中。