Java 应用监控领域有不少重量级选手——SkyWalking、Prometheus+JVM exporter、New Relic——但对很多中小项目来说，部署成本和侵入性才是真正的门槛。JavaMelody 一直走的是"零配置嵌入"路线：加一个 Maven 依赖、改一行 web.xml，就能拿到 HTTP 请求统计、SQL 执行耗时、内存与线程趋势图。v2.8.0 虽然不算大版本，但修了一个让安全团队头疼的误报问题，同时跟上了 Struts 7 的步伐，值得正在用或准备用的团队关注。
OWASP dependency-check 误报：prototype.js 的幽灵
这次修复的核心是 PR 1302。问题出在 JavaMelody 的 javamelody-core 包内嵌了一份 prototype.js（用于监控页面的前端渲染）。OWASP dependency-check-maven 扫描到这份内嵌 JS 后，把它关联到了 CVE-2020-27511——一个针对 prototype.js 原型污染漏洞的 CVE。
实际上，JavaMelody 内嵌的 prototype.js 仅在服务器端渲染监控 HTML 页面时使用，并不暴露给外部用户输入，原型污染的攻击路径在这里不成立。但安全扫描工具只看版本号和文件名，不看上下文，于是每次 CI 流水线跑完都会飘红。
v2.8.0 的处理方式是移除/替换了这份内嵌的 prototype.js 依赖，从根源上消除误报。如果你的项目之前在 CI 中因为这个问题被迫加 suppression 文件，现在可以清理掉相关配置了。
下面是一个典型的 suppression 配置示例——升级后可以删掉这段：
<!-- owasp-suppressions.xml — 升级到 2.8.0 后可删除此文件 -->
<suppressions xmlns="https://jeremylong.github.io/DependencyCheck/dependency-suppression.1.3.xsd">
<suppress>
<packageUrl regex="true">^pkg:maven/net.bull.javamelody/javamelody-core@.*$</packageUrl>
<cve>CVE-2020-27511</cve>
</suppress>
</suppressions>
对应的 Maven 插件配置（同样可以简化）：
<plugin>
<groupId>org.owasp</groupId>
<artifactId>dependency-check-maven</artifactId>
<version>12.1.0</version>
<configuration>
<!-- 升级 JavaMelody 到 2.8.0 后，下面这行可以移除 -->
<suppressionFile>owasp-suppressions.xml</suppressionFile>
<failBuildOnCVSS>7</failBuildOnCVSS>
</configuration>
<executions>
<execution>
<goals><goal>check</goal></goals>
</execution>
</executions>
</plugin>
Struts 7 Action 支持：跟上框架升级节奏
Apache Struts 7 是 Struts 框架的下一个大版本，基于 Struts 6 的 Jakarta EE 员件命名空间迁移（javax.* → jakarta.*），并进一步调整了核心 API。JavaMelody 之前通过 StrutsInterceptor 来自动拦截 Struts action 请求并记录耗时与错误率。Struts 7 的 action 接口包路径变了，旧拦截器无法匹配。
v2.8.0 添加了对 Struts 7 action 的适配（commit 7766320），意味着如果你正在把 Struts 6 应用迁移到 Struts 7，JavaMelody 的监控不需要额外改造就能继续工作。
快速接入：从零到监控面板
如果你还没用过 JavaMelody，接入成本极低。以 Spring Boot + Maven 为例：
<dependencies>
<!-- JavaMelody 核心依赖 -->
<dependency>
<groupId>net.bull.javamelody</groupId>
<artifactId>javamelody-spring-boot-starter</artifactId>
<version>2.8.0</version>
</dependency>
</dependencies>
Spring Boot 场景下，starter 会自动注册过滤器和监控端点。启动应用后访问：
http://localhost:8080/monitoring
即可看到请求统计、SQL 慢查询、内存曲线、HTTP 错误分布等图表。
如果需要细粒度控制，可以在 application.yml 中调整：
javamelody:
# 监控的 URL 路径前缀，默认 /monitoring
monitoring-path: /monitoring
# 不纳入统计的 URL（正则匹配）
excluded-urls: /static/.*,/health
# SQL 慢查询阈值（毫秒），超过此值会单独标记
slow-sql-threshold: 200
# 日志阈值，HTTP 请求超过此耗时记为 warning
warning-threshold-millis: 1000
# 是否启用 PDF 报表导出
pdf-report-enabled: true
对于传统 Servlet 项目（非 Spring Boot），在 web.xml 中加两行即可：
<filter>
<filter-name>monitoring</filter-name>
<filter-class>net.bull.javamelody.MonitoringFilter</filter-class>
</filter>
<filter-mapping>
<filter-name>monitoring</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
升级与使用建议
| 场景 | 建议 |
|---|---|
| CI 中跑 OWASP dependency-check 且之前为 CVE-2020-27511 写了 suppression | 升级到 2.8.0，删除 suppression 条目，跑一次全量扫描确认误报消失 |
| 正在从 Struts 6 迁移到 Struts 7 | 升级到 2.8.0，验证 StrutsInterceptor 对新 action 的拦截是否生效，检查 /monitoring 页面中 Struts action 统计是否正常显示 |
| 新项目首次接入 | 直接用 2.8.0，Spring Boot 选 starter，Servlet 项目选 javamelody-core + web.xml 配置 |
| 生产环境安全考虑 | /monitoring 端点默认无认证，务必通过 IP 白名单或 Spring Security 限制访问 |
值得注意的边界：JavaMelody 的数据存储在本地文件（默认 ~/.javamelody/），没有远程中心化存储。单节点监控没问题，但如果你的服务有 20 个实例，就需要逐个打开面板，或者搭配 Prometheus exporter 把数据汇总到 Grafana。JavaMelody 官方也提供了 javamelody-collector-server 做多实例聚合，但复杂度会上升一档——这时候你可能要评估是否该直接走 SkyWalking 或 Micrometer+Prometheus 的路线。
总的来说，v2.8.0 解决了一个让安全合规流程卡壳的实际问题，同时让 Struts 7 早期采用者不至于在监控层面掉队。改动不大，但踩坑的人会明显感受到省心。