From 9798f0541a7adce0683f59eb954835091995a62e Mon Sep 17 00:00:00 2001
From: root <root@debian.debian>
Date: Mon, 14 Sep 2026 14:02:30 +0800
Subject: [PATCH] =?UTF-8?q?=E5=8D=87=E7=BA=A7=E4=BE=9D=E8=B5=96=E7=89=88?=
 =?UTF-8?q?=E6=9C=AC=E5=B9=B6=E7=A7=BB=E9=99=A4=E6=9C=AA=E4=BD=BF=E7=94=A8?=
 =?UTF-8?q?=E7=9A=84=20httpclient?=
MIME-Version: 1.0
Content-Type: text/plain; charset=UTF-8
Content-Transfer-Encoding: 8bit

安全修复：
- netty-all 4.1.101.Final -> 4.1.138.Final：4.1.101 存在多个已知 CVE
  （netty-codec-http 修复线 4.1.108/4.1.125/4.1.129/4.1.132-4.1.137，
  netty-common 修复线 4.1.115/4.1.118）。该组件直接面向主站与公网。
- commons-compress 1.25.0 -> 1.28.0（CVE-2024-26308/25710 修复于 1.26.0）。
- logback-classic 1.4.14 -> 1.5.38，slf4j 2.0.9 -> 2.0.19。
- jackson-databind 2.15.2 -> 2.22.2：留在 Jackson 2.x 线而非迁 3，因为本组件
  负责解析并落盘快照数据，且与主站（已升 Jackson 3）的跨版本线上格式已实测兼容。
- hutool 5.8.26 -> 5.8.47；lombok 1.18.40 -> 1.18.48；junit 5.10.2 -> 5.14.4。
- native-maven-plugin 0.10.3 -> 1.1.8（配合 GraalVM 25）。

移除 org.apache.httpcomponents:httpclient 4.5.14：全仓库无任何引用
（HTTP 调用走 hutool 的 HttpRequest），且该线自 2022-11 起已 EOL。

验证：mvn test 5 项全过；隔离冒烟加载线上真实快照目录（53 个文件）——
Jackson 2.22.2 正确解析由 2.15.2 写出的 manifest，/health/subscription 报
state=ready、12 账号/12 绑定，/sub/v2 与 /sub/cat 分别 43024/125045 字节
（与升级前完全一致）；与 Boot 4 主站（Jackson 3）端到端联调，
订阅快照 result=0（APPLY_SUCCESS）。
---
 pom.xml | 26 ++++++++++----------------
 1 file changed, 10 insertions(+), 16 deletions(-)

diff --git a/pom.xml b/pom.xml
index 284a1ec..06886b1 100644
--- a/pom.xml
+++ b/pom.xml
@@ -18,57 +18,51 @@
         <dependency>
             <groupId>io.netty</groupId>
             <artifactId>netty-all</artifactId>
-            <version>4.1.101.Final</version>
+            <version>4.1.138.Final</version>
         </dependency>
 
         <dependency>
             <groupId>com.fasterxml.jackson.core</groupId>
             <artifactId>jackson-databind</artifactId>
-            <version>2.15.2</version>
+            <version>2.22.2</version>
         </dependency>
 
         <dependency>
             <groupId>org.projectlombok</groupId>
             <artifactId>lombok</artifactId>
-            <version>1.18.40</version>
+            <version>1.18.48</version>
         </dependency>
 
         <dependency>
             <groupId>org.slf4j</groupId>
             <artifactId>slf4j-api</artifactId>
-            <version>2.0.9</version>
+            <version>2.0.19</version>
         </dependency>
 
 
         <dependency>
             <groupId>ch.qos.logback</groupId>
             <artifactId>logback-classic</artifactId>
-            <version>1.4.14</version>
+            <version>1.5.38</version>
         </dependency>
 
 
         <dependency>
             <groupId>cn.hutool</groupId>
             <artifactId>hutool-all</artifactId>
-            <version>5.8.26</version>
+            <version>5.8.47</version>
         </dependency>
 
         <dependency>
             <groupId>org.apache.commons</groupId>
             <artifactId>commons-compress</artifactId>
-            <version>1.25.0</version>
-        </dependency>
-
-        <dependency>
-            <groupId>org.apache.httpcomponents</groupId>
-            <artifactId>httpclient</artifactId>
-            <version>4.5.14</version>
+            <version>1.28.0</version>
         </dependency>
 
         <dependency>
             <groupId>org.junit.jupiter</groupId>
             <artifactId>junit-jupiter</artifactId>
-            <version>5.10.2</version>
+            <version>5.14.4</version>
             <scope>test</scope>
         </dependency>
     </dependencies>
@@ -89,7 +83,7 @@
                         <path>
                             <groupId>org.projectlombok</groupId>
                             <artifactId>lombok</artifactId>
-                            <version>1.18.40</version>
+                            <version>1.18.48</version>
                         </path>
                     </annotationProcessorPaths>
                 </configuration>
@@ -120,7 +114,7 @@
             <plugin>
                 <groupId>org.graalvm.buildtools</groupId>
                 <artifactId>native-maven-plugin</artifactId>
-                <version>0.10.3</version>
+                <version>1.1.8</version>
                 <configuration>
                     <mainClass>lion.Main</mainClass>
                     <imageName>storageNode</imageName>