jdk9 出现比 log4j 更大的漏洞

[asd7160]

https://weibo.com/1705822647/Lm0FY1WyS#comment

https://imgur.com/KSkhaQO

[kran]

@wolfie 扫包的根本目的是不是自动装配而不是依赖解耦？
为了自动装配各种三方包，涂一层封装，然后外化到配置文件，这真的有很大意义吗？
我对 spring 了解不深，所以对它的流行相当茫然。

[kingfalse]

quarkus 牵着 micronaut 的小手表示看戏.

[cheng6563]

@kran 抛开 Java 很多时候过度设计不说。一开始必用 Spring 的原因是依赖注入带来的事务管理器，之后就是 Spring Boot 简化了一堆配置。
现在直接用原生 Servlet 搭个项目是真的要愁死人。

[wolfie]

@kran
我的理解 依赖解藕 基于 自动装配（控制反转 + 依赖注入）。

没理解外化到配置文件是什么意思。

[qsnow6]

[sprite82]

这下万年 Java8 的又有不升级的理由了😅

[GuryYu]

这个漏洞是说的 SpringBoot 2.6.5 刚刚修复的 “CVE-2022-22950: Spring Expression DoS Vulnerability” 么

[eviladan0s]

这个漏洞应该是类似任意文件写入，据说是老漏洞补丁的绕过

[blackshow]

Quarkus:😁😁😁😁😁😁😁

[hbsfxlz]

@Leviathann 你是还在用 struts 么？开开眼吧，还又臭又长，笑死

[kran]

@cheng6563 原来还有这样的历史，涨知识了，是不是说依赖注入导致事务管理变得复杂了？给我的感觉是现在基于注解的事务管理方式比编程式更加复杂不可控。不是抬杠，“简化”与黑箱伴生而存，可能这是社区思考后决定承受的代价吧。

@wolfie 就是说 spring 选择了以自动装配的方式达成依赖解耦？那确实没啥说的，因为我觉得 springboot 的各种问题缘由就在自动装配。个人更倾向于显式的编程式的配置。
外化到配置是说，用配置代替编程接口，这中间增加的复杂度我个人认为不值得。

[lovelynn]

凭什么觉得比 log4j 危害更大呢

[XhstormR02]

2010-1622 相关

[kylix]

这下，坚守 jdk8 更有理由了

（绝不是因为懒）

[yuwangG]

建议客户使用 PHP

[felixcode]

说了新版本不稳定不可靠吧（幸灾乐祸），jdk8 可以再用十年。

[lr709]

怎么又是 java 的

[Bingchunmoli]

@kran 扫包的根本目的，ioc 和 di 怎么不是为了解耦

[Bingchunmoli]

@kran 并没有，大部分情况下一个注解搞定，单理解手写大部分都需要理解很久

[Bingchunmoli]

@kran 如果在 a 类用 b 类的非静态方法你要 new 然而用 spring 后不需要 new 交由 speingioc 管理，而且面向接口直接声明接口即可