为何maven 有些包这老旧也不更新,而且还是有高危的包

[damonflycloud]

为何maven 有些包这老旧也不更新,而且还是有高危的包,例如okhttp 包 ,项目还是用的3.x的版本, 这个版本有高危漏洞的,官方难道就不准备升级一下么

[zqfan]

当时选这个版本是因为继续往上升级有兼容性问题，并且看https://mvnrepository.com/artifact/com.squareup.okhttp3/okhttp 这里并未标记此版本有风险，麻烦贴一下看到的高危漏洞链接哈，我们看下怎么处理

[damonflycloud]

如图所示,这个版本的okhttp会存在[CVE-2023-3635](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2023-3635) 漏洞

[sanyecao2314]

同问，这些官方能否升级掉

[celaraze]

催更下，高危漏洞引用还在，是否官方有解决计划。

[zqfan]

okhttp选在3.12.13是因为要照顾jdk7的用户，继续升级意味着这些用户无法再使用新版本了。虽然jdk7是很老很老的版本了，官方也已不再维护，但国内情况迫使我们必须得考虑这些用户。
或许单拉分支支持jdk7也是一种解决方式，但维护成本也是需要权衡的。我和维护人员讨论下怎么解决

[celaraze]

okhttp选在3.12.13是因为要照顾jdk7的用户，继续升级意味着这些用户无法再使用新版本了。虽然jdk7是很老很老的版本了，官方也已不再维护，但国内情况迫使我们必须得考虑这些用户。 或许单拉分支支持jdk7也是一种解决方式，但维护成本也是需要权衡的。我和维护人员讨论下怎么解决

感谢开发组回复。我的建议是，项目发展到一定程度是需要做切割的，考量jdk7的用户需求本身没有问题，但是如此一来这个兼容是建立在绝大部分用户可能存在的安全威胁之上的，这不是一个好的取舍，反而使得技术债务越堆越多。可以做个major，jdk7用户的sdk版本称为classic，迭代版本应该仍然保持流行。