android - Checkmarx 找到了 android 项目中没有的库

Question

Checkmarx OSA 发现：com.fasterxml.jackson.core:jackson-databind 您的版本已过时但是当我扫描依赖项时我找不到，因为我们在项目中有任何杰克逊库。你知道可能是什么问题吗？

Answer 1

这可能是由于包含此过时版本的库。要查看依赖项的完整列表，请运行./gradlew app:dependencies，这将返回类似于：

| +--- androidx.preference:preference:1.1.0
| | +--- androidx.appcompat:appcompat:1.1.0 (*)
| | +--- androidx.core:core:1.1.0 (*)
| | +--- androidx.fragment:fragment:1.1.0 (*)
| | +--- androidx.recyclerview:recyclerview:1.0.0 (*)
| | +--- androidx.annotation:annotation:1.1.0
| | \--- androidx.collection:collection:1.0.0 -> 1.1.0 (*)
| +--- androidx.lifecycle:lifecycle-extensions:2.1.0
| | +--- androidx.lifecycle:lifecycle-runtime:2.1.0 (*)
| | +--- androidx.arch.core:core-common:2.1.0 (*)
| | +--- androidx.arch.core:core-runtime:2.1.0 (*)
| | +--- androidx.fragment:fragment:1.0.0 -> 1.1.0 (*)

然后，您可以查看哪个库正在使用过期版本的 jackson-databind。