springboot修改依赖jar包版本

最近在解决jar包漏洞问题，需要替换jar包，但是springboot2本身依赖了很多jar版本，导致我们需要替换的时候无从下手。

解决方法：

1、maven编译项目后，就可以在target目录下找到生成的jar包，然后使用压缩文件解压该jar文件，就可以得到一个文件夹。然后在文件夹下BOOT-INFlib文件夹中就可以看到所有依赖的jar文件。

2、我们需要替换掉jackson-core-2.9.10.6.jar为jackson-core-2.11.4.jar

2021年1月7日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.8存在多个反序列化远程代码执行漏洞（CVE-2020-36179 ~ CVE-2020-36189），利用该漏洞，攻击者可远程执行代码，控制服务器。

2020年12月17日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.8存在反序列化远程代码执行漏洞（CVE-2020-35490/CVE-2020-35491）。利用该漏洞，攻击者可控制服务器。

2020年12月27日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.8存在反序列化远程代码执行漏洞（CVE-2020-35728）。利用该漏洞，攻击者可远程执行代码，控制服务器。若未使用enableDefaultTyping()方法，可忽略该漏洞。

2021年1月19日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.6存在一处反序列化漏洞，此漏洞可能导致远程代码漏洞执行

3、打开pom.xml文件

4、在中添加以下两行，即可使用指定版本，

    
		    org.springframework.boot
		spring-boot-starter-parent
		1.5.9.RELEASE
		
	

	
		UTF-8
        
        
		2.11.4
        
		${jackson.version}

	

5、然后我们执行maven-clean，

6、在执行maven-package，即可得到最新的jar，然后使用360压缩软件解压后，就能看到我们指定的jar。