跟个风，聊一聊这两天很火的Log4j核弹级漏洞

相信大家这两天应该被这么一条新闻刷屏了吧：

这个漏洞到底是怎么回事？

核弹级，真的有那么厉害吗？

怎么利用这个漏洞呢？

我看了很多技术分析文章，都太过专业，很多非Java技术栈或者不搞安全的人只能看个一知半解，导致大家只能看个热闹，对这个漏洞的成因、原理、利用方式、影响面理解的不到位。

这篇文章，我尝试让所有技术相关的朋友都能看懂：这个注定会载入网络安全史册上的漏洞，到底是怎么一回事！

log4j2

不管是什么编程语言，不管是前端后端还是客户端，对打日志都不会陌生。

通过日志，可以帮助我们了解程序的运行情况，排查程序运行中出现的问题。

在Java技术栈中，用的比较多的日志输出框架主要是log4j2和logback。

今天讨论的主角就是log4j2。

我们经常会在日志中输出一些变量，比如：

logger.info("client ip: {}", clientIp)

现在思考一个问题：

假如现在想要通过日志输出一个Java对象，但这个对象不在程序中，而是在其他地方，比如可能在某个文件中，甚至可能在网络上的某个地方，这种时候怎么办呢？

log4j2的强大之处在于，除了可以输出程序中的变量，它还提供了一个叫Lookup的东西，可以用来输出更多内容：

<