前言 在当今的软件开发生态与 CI/CD 流水线中，开源基础组件扮演着至关重要的角色。它们如同构建高楼大厦的钢筋水泥，被广泛集成在各类上层应用之中。然而，由于基础组件往往处于底层，其隐藏的安全漏洞具备极强的隐蔽性和破坏力。 Eclipse JGit 是 Java 生态中用于操作 Git 仓库的核心开源库。它允许开发者在 Java 代码中无缝实现 clone、commit、push 等 Git 操作。得益于其便捷性，许多知名企业级应用（如 Jenkins、各类 DevOps 平台、低代码平台的代码拉取模块）都在底层直接或间接地集成了 JGit。 2025 年，官方披露了 JGit 存在一个严重的 XML 外部实体注入（XXE）漏洞，编号为 CVE-2025-4949。该漏洞影响 JGit 的 ManifestParser 以及 AmazonS3 transport 模块。 本文将基于 JDK