升级springboot2.7，Spring Security 5.7.14 漏洞修复完毕

fs-service/pom.xml

@@ -203,8 +203,7 @@
 
         <dependency>
             <groupId>com.huaweicloud</groupId>
-            <artifactId>esdk-obs-java-bundle</artifactId>
-            <version>3.23.9</version>
+            <artifactId>esdk-obs-java</artifactId>
         </dependency>
 
         <dependency>

pom.xml

@@ -53,7 +53,10 @@
         <!-- CVE-2022-45688: org.json XML.toJSONObject 栈溢出 DoS，需 >= 20230227 -->
         <org.json.version>20240303</org.json.version>
         <!-- CVE-2021-46877: jackson-databind JsonNode JDK 序列化 DoS，2.13.x 需 >= 2.13.1 -->
-        <jackson.version>2.13.5</jackson.version>
+        <!-- CVE-2023-35116: jackson-databind 循环依赖 DoS，需 >= 2.16.0 -->
+        <jackson.version>2.16.2</jackson.version>
+        <!-- 非 bundle 版 OBS SDK，避免 fat jar 内嵌旧版 jackson 无法被 BOM 覆盖 -->
+        <esdk-obs-java.version>3.25.5</esdk-obs-java.version>
         <!-- CVE-2022-38749: snakeyaml 解析不可信 YAML 栈溢出 DoS，需 >= 1.31 -->
         <snakeyaml.version>1.33</snakeyaml.version>
         <!-- CVE-2021-44832: log4j2 JDBC Appender JNDI RCE，Java 8 需 >= 2.17.1 -->
@@ -153,7 +156,7 @@
                 <scope>import</scope>
             </dependency>
 
-            <!-- 修复 CVE-2021-46877（覆盖传递依赖中可能存在的 jackson-databind < 2.13.1） -->
+            <!-- 修复 CVE-2021-46877 / CVE-2023-35116（覆盖传递依赖中可能存在的 jackson-databind < 2.16.0） -->
             <dependency>
                 <groupId>com.fasterxml.jackson</groupId>
                 <artifactId>jackson-bom</artifactId>
@@ -177,6 +180,13 @@
                 <version>${jackson.version}</version>
             </dependency>
 
+            <!-- 华为 OBS SDK（非 bundle，jackson 由上方 BOM 统一锁定 >= 2.16.0） -->
+            <dependency>
+                <groupId>com.huaweicloud</groupId>
+                <artifactId>esdk-obs-java</artifactId>
+                <version>${esdk-obs-java.version}</version>
+            </dependency>
+
             <!-- 修复 CVE-2022-38749（覆盖 Spring Boot 2.7 默认 snakeyaml 1.30） -->
             <dependency>
                 <groupId>org.yaml</groupId>