java - 如何使用 Gradle 在 Spring Boot 中覆盖来自 Thymeleaf 1.5.8.RELEASE 的传递依赖 Groovy 版本

Question

我对 Gradle 世界还算陌生。作为我们正在进行的安全审核的一部分，我们被告知您的 Gradle 项目之一存在以下依赖关系:

compile(group: 'org.springframework.boot', name: 'spring-boot-starter-thymeleaf', version: '1.5.8.RELEASE')

正在使用 Groovy 2.4.7 的传递依赖项，但由于该版本存在一些安全漏洞 ( https://nvd.nist.gov/vuln/detail/CVE-2016-6497 )，因此我们需要覆盖新版本的 Groovy 版本。

这是该部分的依赖关系树:

org.springframework.boot.spring-boot-starter-thymeleaf-1.4.1.RELEASE ( /opt/whitehat/satellite/applications/9400/src/10280/pom.xml [line 36, column 15] ) 
    - nz.net.ultraq.thymeleaf.thymeleaf-layout-dialect-1.4.0 ( /opt/whitehat/satellite/applications/9400/src/10280/pom.xml [line 36, column 15] ) 
        - org.codehaus.groovy.groovy-2.4.7

如何将 Groovy 版本从 2.4.7 覆盖到更高版本？

我已尝试以下方法，但不起作用:

compile(group: 'org.springframework.boot', name: 'spring-boot-starter-thymeleaf', version: '1.5.8.RELEASE') {
    exclude(module: 'groovy')
}

compile group: 'org.codehaus.groovy', name: 'groovy-all', version: '2.4.12'

Answer 1

如果是出于安全考虑，我会使用解决策略来确保没有人意外地将此版本添加到任何配置中，如下所示:

configurations.all {
    resolutionStrategy {
        dependencySubstitution {
            substitute module('org.codehaus.groovy:groovy:2.4.7') with module('org.codehaus.groovy:groovy:2.4.12')
        }
    }
}