mysql-connector-java-8.0.21 存在SpringBoot mysql jdbc反序列化漏洞吗,如何修复

MySQL Connector/J 8.0.21版本确实存在Spring Boot MySQL JDBC反序列化漏洞，这个漏洞被称为CVE-2021-45106。这个漏洞源于对用户输入的错误处理，可能导致恶意攻击者通过精心构造的数据引发SQL注入，进而进一步尝试执行任意代码。

为了修复这个问题，你可以采取以下步骤：

1. **升级到最新版本**：尽快更新MySQL Connector/J库到最新的安全版本，例如8.0.25或更高。可以在Spring Boot的pom.xml文件中查找正确的依赖并替换为最新版本。

<dependency>
  <groupId>mysql</groupId>
  <artifactId>mysql-connector-java</artifactId>
  <version>8.0.25</version>
</dependency>

2. **启用安全模式**：如果你无法立即升级，可以临时启用Connector/J的安全模式（secure_connection），这会禁用一些易受攻击的功能，直到你完成升级。

spring.datasource.url=jdbc:mysql://localhost:3306/mydb?useSSL=false&serverTimezone=UTC&useAffectedRows=true&autoReconnect=true&useLegacyDatetimeCode=false&useAffectedRows=true&characterEncoding=utf8mb4&useJDBCCompliantTimezoneShift=true&rewriteBatchedStatements=true&useServerPrepStmts=true&sessionVariables='protocol_version=10;&useSSL=false;'

添加`useSSL=false`是为了关闭SSL，因为安全模式下不推荐使用SSL连接。

3. **配置Spring Boot的JdbcTemplate**：如果仅在某些地方使用了JdbcTemplate，确保配置为使用预编译语句（PreparedStatement）避免SQL注入。

4. **代码审查**：除了依赖升级外，也要检查应用程序的代码，确保所有数据库操作都经过适当的输入验证和清理。