# `maas-platform` 镜像漏洞修复报告

## 1. 漏洞分析总结

根据对 `scan_all_20260330_10-30-55.html` 报告的分析，`maas-platform` 镜像共存在 **42** 条应用漏洞。我们将其分为两类：

1.  **项目自身依赖漏洞 (5 条)**: 主要涉及 `tomcat-embed-core`, `netty-handler`, `spring-security-crypto` 等组件，这些漏洞来源于项目 `pom.xml` 的直接或间接依赖。
2.  **基础环境漏洞 (37 条)**: 这些漏洞全部来源于基础镜像中携带的 `/arthas/arthas-core.jar` 文件，与项目代码无关，主要涉及 `jackson-databind`, `logback` 等。

详细的漏洞清单请参见：
- [`maas-platform-vulnerability-details.md`](file:///Users/ray/workplace/project_data/migu/security/maas-platform/maas-platform-vulnerability-details.md)

## 2. 修复方案

我们采用“靶向修复”的策略，针对两类不同来源的漏洞分别进行处理。

### 2.1. 修复项目自身依赖 (`pom.xml`)

**核心思想**: 通过在 `pom.xml` 中使用 `<dependencyManagement>` 和 `<properties>`，强制将存在漏洞的传递依赖版本统一到指定的安全版本。

**操作**: 请将以下代码片段合并到您的 `/Users/ray/workplace/maas-platform/pom.xml` 文件中。

**代码片段**: 
- [`maas-platform-vulnerability-fix-pom-snippets.xml`](file:///Users/ray/workplace/project_data/migu/security/maas-platform/maas-platform-vulnerability-fix-pom-snippets.xml)

**预期效果**: 此修改将确保 `tomcat-embed-core` 升级到 `10.1.35`，`netty-*` 相关组件统一到 `4.1.118.Final`，`spring-security-crypto` 升级到 `6.3.5`，从而修复 **5** 条相关漏洞。

### 2.2. 修复基础环境漏洞 (`Dockerfile`)

**核心思想**: 由于 `/arthas/arthas-core.jar` 是由基础镜像引入的，与 `pom.xml` 无关，我们必须在构建镜像时将其移除。

**操作**: 在您的 `maas-platform` 项目的 `Dockerfile` 中，找到运行阶段（通常是第二个 `FROM` 指令之后），并添加以下命令：

```dockerfile
# 移除arthas工具，解决其引入的 jackson-databind, logback, netty 等多个漏洞
RUN rm -rf /arthas
```

**预期效果**: 此命令将在镜像构建过程中彻底删除 `arthas` 目录及其内容，从而根除 **37** 条相关漏洞。

## 3. 验证方案

为了确保修复措施完全生效，我们提供了一个一键验证脚本，采用“双重验证”机制。

**验证脚本**: 
- [`verify-maas-platform-fix.sh`](file:///Users/ray/workplace/project_data/migu/security/maas-platform/verify-maas-platform-fix.sh)

**如何使用**: 
1.  确保您已经应用了上述 `pom.xml` 和 `Dockerfile` 的修改。
2.  在终端中直接运行此脚本：`bash /Users/ray/workplace/project_data/migu/security/maas-platform/verify-maas-platform-fix.sh`。

**脚本会做什么**:
1.  **依赖树验证**: 运行 `mvn dependency:tree`，检查 `pom.xml` 的修改是否在构建层面正确生效。
2.  **文件系统扫描**: 运行 `trivy fs .`，从最终产物的角度确认 `pom.xml` 相关的漏洞是否已被修复。

**最终验证**: 
- 要想完整验证 `Dockerfile` 的修改是否生效（即 `arthas` 是否被删除），您需要在应用所有修改后，**重新构建 Docker 镜像**，然后使用 `trivy image <您新构建的镜像名:tag>` 进行最终的全面扫描，确认所有 42 条漏洞均已消失。

至此，`maas-platform` 镜像的漏洞分析和修复方案已全部交付。接下来我将开始分析 `maas-web` 镜像。
