依赖漏洞

背景 干了 10 年安全加固，最近帮两个团队做依赖漏洞扫描复盘，一个现象让我很扎心：扫描工具一年报出来 500+ 个 CVE，开发群里的反应是「又是那几条 log4j 之后的老面孔，能上生产的先上」。安全团队每月出一份「风险清单」，开发每月

背景：我负责一套 8 节点的水平扩展 Spring Boot 3.1 服务，Maven 多模块，依赖里混着不少内部二方包（自托管 Nexus），走 CI/CD 发布。安全团队要求"上线前 SCA 卡点"，但过去半年这个卡点基本被掏空，我想系