maven 下的 springboot log4j 核弹漏洞如何处理

如果项目已 springboot 做parent的话:

  	<parent>
	    <groupId>org.springframework.boot</groupId>
	    <artifactId>spring-boot-starter-parent</artifactId>
	    <version>2.3.5.RELEASE</version>
	    <relativePath/>
	</parent>

在该POM中重新引用log4j-to-slf4j包并排除 log4j-api,重新引入15保本的log4j 即可

	<dependency>
		<groupId>org.apache.logging.log4j</groupId>
		<artifactId>log4j-to-slf4j</artifactId>
		<version>2.13.3</version>
		<scope>compile</scope>
		<exclusions>
			<exclusion>
				<groupId>org.apache.logging.log4j</groupId>
				<artifactId>log4j-api</artifactId>
			</exclusion>
		</exclusions>
	</dependency>

如何查找哪个包引用的log4j , 用IDEA 打开 maven 选项卡 点击show dependency按钮

就会出来一个 依赖图

直接ctrl + F 直接查找log4j 包 看下哪些包引用了log4j 用maven 处理下就行