从htrace 4中排除org.apache.htrace.shaded.fasterxml.jackson

Question

我试图将org.apache.htrace.shaded.fasterxml.jackson排除在htrac-core4-4.1.0-孵化器之外。

我在pom.xml中的代码如下所示。

<dependency>
  <groupId>org.apache.htrace</groupId>
  <artifactId>htrace-core4</artifactId>
  <version>4.1.0-incubating</version>
  <exclusions>
    <exclusion>
      <groupId>com.fasterxml.jackson.core</groupId>
      <artifactId>jackson-databind</artifactId>
    </exclusion>
  </exclusions>
</dependency>
<dependency>
  <groupId>com.fasterxml.jackson.core</groupId>
  <artifactId>jackson-databind</artifactId>
  <version>2.9.10.8</version>
</dependency>

Htrace-core4-4.1.0-孵化器使用jackson-2.4.0，其中存在漏洞。因此，我试图将它排除在htrace之外，并为jackson添加另一个依赖项。但是，htrace仍然带着2.4.0。请帮助我如何适当地升级杰克逊版本。

Answer 1

<dependency>
  <groupId>org.apache.htrace</groupId>
  <artifactId>htrace-core4</artifactId>
  <version>4.1.0-incubating</version>
</dependency>

没有瞬态依赖！(证明 . test和provided不是瞬态的)

您必须将它“拉”到其他地方/通过其他依赖项(未在本文中显示)。

尝试：

mvn dependency:tree -Dincludes=jackson-databind

更好地分析。

对于懒人:使用Netbeans和Eclipse (只有！？)，您可以通过上下文菜单排除它们的任何依赖关系(瞬态的，maven)。

Answer 2

htrace 4是一个阴影(uber) jar，因此不能排除它的传递依赖关系。您可以检查它(或任何其他JAR)内部的依赖关系的版本：External Libraries/<ParentDependencyYouAreSearching>/META-INF.<VulnerablePackage>/pom.properties