Spring 相关自查怎么开展
对基于 Spring Framework 与 Spring Boot 的应用做自查，重点是版本核对与部署形态确认。以 CVE-2022-22965 为例，其影响与部署形态强相关：可执行 jar 与部署在外部容器中的 WAR 包所面临的条件不同，因此判断必须落到具体应用的依赖版本与运行方式上，而不是笼统地看框架大版本。处置方式以升级到官方公告给出的修复版本为主，无法立即升级时再评估临时缓解措施。
基本信息
| 核查对象 | 应用的 spring-beans、spring-webmvc 等实际加载版本 |
|---|---|
| 关键信息 | 依赖版本、JDK 版本、部署形态（可执行 jar 或 WAR 加外部容器） |
| 处置方式 | 升级到官方公告给出的修复版本 |
| 缓解措施 | 无法立即升级时按官方公告逐条评估可行性 |
| 记录内容 | 受影响应用清单、当前版本、部署方式、处置计划 |
典型使用场景
- 资产梳理阶段清点 Spring 应用清单与版本分布
- 评估框架类问题的整体暴露面
- 为升级排期提供依据：按暴露面与部署形态分批
- 回应扫描器报告：核对实际加载版本与公告范围
- 修复验证：确认升级后版本已高于修复版本线
自查步骤
自查步骤
# 1. 清点应用依赖中的实际版本（注意传递依赖）
mvn dependency:tree -Dincludes=org.springframework:spring-beans,org.springframework:spring-webmvc
./gradlew dependencies --configuration runtimeClasspath | grep -i spring
# 2. 核对部署形态：可执行 jar、WAR 加外部容器，或容器镜像内嵌
# 3. 对照官方公告确认受影响范围与修复版本，安排升级
# 4. 无法立即升级时，按公告逐条评估临时缓解项与可行性信息与处置
| 信息项 | 作用 |
|---|---|
| 实际加载的依赖版本 | 决定是否落在受影响范围，声明版本可能与实际不同 |
| JDK 版本 | 部分利用条件与运行环境相关 |
| 部署形态 | 可执行 jar 与外部容器 WAR 的风险条件不同 |
| 对外暴露情况 | 决定处置优先级与排期 |
漏洞可利用性受部署形态影响：先确认前提条件再决定处置优先级，避免把全部 Spring 应用一律定为紧急。
版本判断要落到实际加载的依赖上：项目声明版本与实际加载版本可能因传递依赖与依赖管理插件而不同。