最近在解决jar包漏洞问题，需要替换jar包，但是springboot2本身依赖了很多jar版本，导致我们需要替换的时候无从下手。

解决方法：

1、maven编译项目后，就可以在target目录下找到生成的jar包，然后使用压缩文件解压该jar文件，就可以得到一个文件夹。然后在文件夹下BOOT-INF\lib文件夹中就可以看到所有依赖的jar文件。

2、我们需要替换掉jackson-core-2.9.10.6.jar为jackson-core-2.11.4.jar

2021年1月7日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.8存在多个反序列化远程代码执行漏洞（CVE-2020-36179 ~ CVE-2020-36189），利用该漏洞，攻击者可远程执行代码，控制服务器。

2020年12月17日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.8存在反序列化远程代码执行漏洞（CVE-2020-35490/CVE-2020-35491）。利用该漏洞，攻击者可控制服务器。

2020年12月27日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.8存在反序列化远程代码执行漏洞（CVE-2020-35728）。利用该漏洞，攻击者可远程执行代码，控制服务器。若未使用enableDefaultTyping()方法，可忽略该漏洞。

2021年1月19日，jackson-databind官方发布安全通告，披露jackson-databind < 2.9.10.6存在一处反序列化漏洞，此漏洞可能导致远程代码漏洞执行

3、打开pom.xml文件

4、在<properties>中添加以下两行，即可使用指定版本，

    <parent>
		    <groupId>org.springframework.boot</groupId>
		<artifactId>spring-boot-starter-parent</artifactId>
		<version>1.5.9.RELEASE</version>
		<relativePath />
	</parent>

	<properties>
		<encoding>UTF-8</encoding>
        
        <!-- 以下两行都必须，不然没有效果-->
		<jackson.version>2.11.4</jackson.version>
        <!-- databind关键字，指定版本-->
		<jackson.version.databind>${jackson.version}</jackson.version.databind>

	</properties>

5、然后我们执行maven-clean，

6、在执行maven-package，即可得到最新的jar，然后使用360压缩软件解压后，就能看到我们指定的jar。