com.squareup.okhttp3:okhttp 组件安全漏洞及健康度分析

组件简介

com.squareup.okhttp3:okhttp 一个开源的 HTTP 客户端库，可以用于 Android 和 Java 应用程序。它提供了一种简单而强大的方式来发送和接收网络请求，支持 HTTP/2、GZIP、缓存、TLS 1.3 等特性。它还能够在网络不稳定的情况下自动恢复连接，并支持多个 IP 地址的切换。

官网：Overview - OkHttp

官方仓库：GitHub - square/okhttp: Square’s meticulous HTTP client for the JVM, Android, and GraalVM.

参考链接：

com.squareup.okhttp3:okhttp | repo1.maven.org | Ecosyste.ms: Packages

组件健康度

com.squareup.okhttp3:okhttp 这个组件的健康度非常高，是一个值得使用和信赖的 HTTP 客户端库。

参考链接：

Overview - OkHttp

GitHub - square/okhttp: Square’s meticulous HTTP client for the JVM, Android, and GraalVM.

com.squareup.okhttp3:okhttp 4.11.0 on Maven - Libraries.io

组件许可证解读

Apache License 2.0 是一种开源软件许可证，广泛用于授权开源项目和代码。Apache License 2.0 允许用户自由地使用、修改和分发受许可的软件，而无需支付版权费用或专利费用。它鼓励开发者共享他们的代码，并保护用户的权利。以下是该许可证的一些重要特点：

1. 代码使用权：用户可以自由地使用、复制、修改、合并、发布、分发和销售受许可软件。
2. 版权声明：用户必须在所有源代码副本中保留原始的版权声明、许可证声明和免责声明。
3. 修改代码：如果用户对代码进行了修改，需要清楚标明哪些部分发生了变化，并不能暗示原作者同意这些修改。
4. 商标使用：Apache License 2.0 并未授予使用原软件的任何商标或名称的权利。
5. 专利许可：该许可证授予了在使用、修改或分发受许可软件时相关专利的非独占许可。这意味着如果用户授权其他人使用该软件，相关专利许可也会传递给接收方。
6. 再许可：用户可以将受 Apache License 2.0 许可的代码作为一部分整合到其它开源项目中，并使用不同的许可证授权整个项目。但是，需要在代码中显式地说明使用了 Apache License 2.0 许可的部分。

需要注意的是，Apache License 2.0 并不保证软件没有缺陷或不稳定性，使用该软件的风险由用户自行承担。

许可证原文链接：https://github.com/square/okhttp/blob/master/LICENSE.txt

组件漏洞版本及修复方案

同类型可替代组件

Retrofit: 这是一个基于 OkHttp 的类型安全的 HTTP 客户端，可以将 HTTP API 转换为 Java 接口。它支持同步和异步调用，以及多种数据格式，如 JSON, XML, Protocol Buffers 等。它还可以与 RxJava, Coroutines, Guava 等库集成，提供更多的功能和灵活性。它的最新版本是 2.9.0，发布于 2020 年 5 月 20 日。官网：Retrofit

Volley: 这是一个由 Google 开发的轻量级的 HTTP 库，专为 Android 平台优化。它可以自动处理网络请求的调度和缓存，以及图片加载和显示。它支持优先级、取消、重试、自定义请求等特性。它的最新版本是 1.2.0，发布于 2020 年 11 月 9 日。官网：Volley overview | Volley

Apache HttpClient: 这是一个成熟的 HTTP 客户端库，支持 HTTP/1.1 和 HTTP/2 协议。它提供了多种连接管理策略、身份验证机制、拦截器、重定向处理等特性。它还有一个专门为 Android 设计的分支，称为 HttpClient Android。它的最新版本是 5.1.2，发布于 2021 年 8 月 14 日。官网：Apache HttpComponents – HttpClient Overview

组件SBOM

该SBOM清单仅展示部分内容

完整SBOM清单及检测报告：

墨菲安全 | 为您提供专业的软件供应链安全管理

 关于墨知

墨知是国内首个专注软件供应链安全领域的技术社区，社区致力于为国内数百万技术人员提供全方位的软件供应链安全专业知识内容，包括软件供应链安全技术、漏洞情报、开源组件安全、SBOM、软件成分分析（SCA）、开源许可证合规等前沿技术及最佳实践。

墨知主要内容分类：

1. 漏洞分析：漏洞_墨知 (oscs1024.com)
2. 投毒分析：投毒分析_墨知 (oscs1024.com)
3. 行业动态：行业动态_墨知 (oscs1024.com)
4. 行业研究：行业研究_墨知 (oscs1024.com)
5. 工具推荐：工具推荐_墨知 (oscs1024.com)
6. 最佳实践：最佳实践_墨知 (oscs1024.com)
7. 技术科普：技术科普_墨知 (oscs1024.com)

墨知通过促进知识共享、技术研究和合作交流，帮助组织和个人提高软件供应链的安全性，减少供应链攻击的风险，并保护软件生态系统的整体安全。

进入社区：墨知 - 软件供应链安全技术社区

原文来自：com.squareup.okhttp3:okhttp 组件安全漏洞及健康度分析_墨知 (oscs1024.com)