重点涉及到的三方jar包如下：

1）commons-jxpath-1.3.jar

 2）xalan-2.7.2.jar

3）xmlsec-1.5.7.jar

4）jackson-databind-2.11.3.jar

5）antisamy-1.5.10.jar

6）commons-httpclient-3.1.jar

7）nekohtml-1.9.7.jar

解答

 1.其次针对如下三方jar，测试验证确认如下：

     1）commons-jxpath-1.3.jar    (未引用可以直接去掉)

     2）xalan-2.7.2.jar      (更新OpenJDK大于18.0.1版本)

     3）xmlsec-1.5.7.jar    (可升级2.2.3)

     4）jackson-databind-2.11.3.jar （可升级2.13.4）

     5）antisamy-1.5.10.jar （可升级1.6.8）

     6）commons-httpclient-3.1.jar（未使用相关X.509证书,不具有风险）

     7）nekohtml-1.9.7.jar  (nekohtml依赖的是antisamy 升级antisamy可解决nekohtml-1.9.7.jar中的风险问题)