请教等保测评和 jdk 版本的问题

[wuzhu]

之前公司项目基于 jdk8 和 springboot2 开发。现在一个新项目，关于物联网方面的(mysql8 、tdengine 、netty 、kafk 、redis 、nginx 等这种)，还在设计阶段，提出后期会涉及到等保三级测评。
好像一些技术组件新版本（还不确定本项目的相关组件新版本是否支持 jdk1.8 ），越来越多的不支持 jdk8 了,这种情况下,想向了解等保的请教一下。
1.复用之前的项目，依旧统一采用 jdk1.8 和原框架代码，部分组件使用旧版本，是否会被等保检测出来，遇到漏洞问题？打补丁修改是否麻烦及能解决等保问题？
2.统一采用 jdk11 版本，jdk 版本升级会带来多少影响？只为解决等保测评的漏洞问题，推荐升级版本吗？
3.统一采用 jdk17 版本，跨度太大，是否不应该选择？

[bjfane]

springboot2 停止维护了，只有商业支持，有 CVE 漏洞，理论上有问题。

[wuzhu]

@bjfane 连 springboot2 都停止维护了吗？一直没关注到这个

[000sitereg]

不用犹豫 直接最新的 起码保底也是 17+3

[asmoker]

一般扫不出来。🤨

[wuzhu]

@asmoker 扫不出来的是吗？ 就是想确认这个情况，怕扫出来，后面再改动组件版本什么的应该是比初期变更 更麻烦

[wxw752]

jdk8 的项目，上个月刚过了三级等保。不升级是没有问题的

[Huelse]

看你是什么等保级别了，普通的不用动，严格的会有硬性规定

[kokutou]

会扫出来的...直接服务器上全盘扫你的文件...
给时间给人 就以后发现了慢慢改呗
不给时间不给人 那直接拉到最新 慢慢开发

[wuzhu]

@wxw752 🆗 多谢

[cheng6563]

JDK 升级没多大影响，可能会少个内置包，Maven 加个依赖补上就行了。
SpringBoot 升级影响巨大，尤其是 SpringBoot3 就是一坨，从 JavaEE 改成了 Jakarta EE ，破坏性巨大，感觉要凉了。

[wuzhu]

@wxw752 也是用到了问题上面提到这种相关组件吗？

[wxw752]

@wuzhu #11 你提到的那些除了 tdengine 没用过，其他的只多不少

[Mogugugugu]

等保，一般问题不大，做过很多等保的项目，等保三级从来没有因为 JDK 出过问题。

[wuzhu]

@wxw752 好的 谢谢

[wuzhu]

@Mogugugugu 怕的是，这两年好像有些新版本不支持 jdk8 ，旧版本有漏洞问题。对这块不清楚，所以请教一下

[967182]

spring 、log4j 、fastjson 等包的版本， 密码等敏感数据加密存储，加密传输，用国密干。权限设计 三权分立，等等。。。。。。功能权限，数据权限。是否可越权。

[ychost]

升级到 SpringBoot3 + JDK21 吧，这个升级比较简单的一般没太大问题，除非依赖不兼容 SpringBoot3

[soulflysimple123]

升级 SpringBoot3 很多配置要改，还有 javaee,swagger 的注解也要改

[yeqizhang]

看怎么扫了，有些都能扫出压缩包里的，感觉去掉依赖包版本名字才能躲过

[yulgang]

花钱就行，有些公司可能只是问问各种组件的版本，都不登录验证，也不会扫描。