继Log4J爆出安全漏洞之后，又在深夜，Spring的github上又更新了一条可能造成RCE（远程命令执行漏洞）的问题代码，随即在国内的安全圈炸开了锅。有安全专家建议升级到JDK 9以上，有些专家又建议回滚到JDK 7以下，一时间小伙伴们不知道该怎么办了。大家来看一段动画演示，怎么改都是“将军"。

大家不要慌，我给大家先临时支个招，后面再出教程。首先叫大家怎么排查哪些项目存在风险，然后，再介绍修复方案。

1、第一步：排查方法

排查的主要目的是确定你的项目是否使用了Spring框架。当然，你的项目有没有使用Spring框架开发者都知道。但是，如果公司项目比较多，为了规避风险，还要对一些老项目要进行排查。那老项目如何确定是否使用了Spring框架呢？

方法很简单，不管的你的项目是用war独立部署还是用jar包独立部署，只需要对应的war或者jar包，将后缀改为zip包，然后将zip解压。在解压后的目录中搜索是否存在spring-beans-开头的jar包或者CachedInrospectionResults.class文件。如果存在就可以确定该项目使用了Spring。

确定项目使用了Spring框架以后，如何来修复可能存在的风险呢？

2、第二步：修复方案

目前为止，Spring官方还没有给出解决方案。我先教大家一个简单粗暴的方案，可以临时解决问题。

1、如果安装了WAF防护，也就是Web应用防火墙，只需要追加这样一个防护规则“class.*Class.****.class.***.Class”，防止远程下载。

2、如果没有安装WAF，只需要在拦截器中增加对 class.*Class.****.class.***.Class 后缀请求的拦截就可以了。

按照这两步操作完之后，大家记得对业务运行情况进行测试，避免对已有功能造成影响。此次爆出的漏洞，攻击原理和之前Log4J爆出的漏洞原理差不多。如果大家对原理有兴趣的话，可以关注我发布的其他视频。

S信【Tom】或【666】即可免费领取需要更多干货内容，还有海量面试资料，只弹干货不惨水！

本文为“Tom弹架构”原创，转载请注明出处。技术在于分享，我分享我快乐！
如果本文对您有帮助，欢迎关注和点赞；如果您有任何建议也可留言评论或私信，您的支持是我坚持创作的动力。关注微信公众号『 Tom弹架构 』可获取更多技术干货！

关注微信公众号『 Tom弹架构 』可获取更多技术干货！往期视频已经整理成文档形式，需要的小伙伴点个关注，搜索下方名片！我是被编程耽误的文艺Tom，