Java 项目经常间接引入大量依赖。只扫描 pom.xml 的直接依赖，可能遗漏传递依赖中的安全问题。

建议在 CI 中执行：

• 依赖漏洞扫描；
• 许可证检查；
• 依赖树输出；
• SBOM 生成；
• 制品哈希记录。

对于高风险依赖，不能只升级版本，还要回归接口、序列化、数据库驱动和日志行为。升级前应先在测试环境验证。

文章可以记录一次依赖升级过程，包括原版本、目标版本、受影响模块和回归测试结果。