SpringBoot及SpringCloud解决Apache Log4j任意代码执行漏洞方法，附临时紧急处理方法5选1(所有JAVA程序均可)【完全清理解决三方组件引用log4j2】

一、说明：本方法主要用于配置修改，完全清理spring boot已经去除了spring-boot-starter-log4j2并切换使用logback，打包依然发现存在log4j相关包存在的解决办法。

现阶段不建议修改log4j2版本号，首先官方目前2个修复版本均发现可以绕过，尚无稳定版本，并且各组件还是需要考虑可能兼容等问题。（更新：可以参考临时方法5直接更新版本号）**

---

二、背景就不多讲了，附临时修改方法（5选1）：

（1）. jvm参数 -Dlog4j2.formatMsgNoLookups=true
（2）. log4j2.formatMsgNoLookups=True
（3）.系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为true

echo  FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS=true >> /etc/profile
source  /etc/profile  
echo $FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS

log4j2的版本2.10 到 2.14.1 ：
echo  LOG4J_FORMAT_MSG_NO_LOOKUPS=true >> /etc/profile
source  /etc/profile  
echo $LOG4J_FORMAT_MSG_NO_LOOKUPS

（4）.上waf
（5）.直接修改pom引用版本号（打包运行正常即可），多模块放至最外层pom即可

JDK7升级至2.12.2，>=JDK8升级至2.17.0
<properties>
	<log4j2.version>2.17.0</log4j2.version>
</properties>

建议：所有系统先都加环境变量临时紧急修复，再选择升级logj2版本或去除log4j2引用

---

三、配置修改方法：直接正题…(当然，也可以直接看最后结论)
1、非spring boot项目可以直接修改版本号解决。
2、spring boot 内置默认配置了log4j2的版本号，修改log4j2版本号的方法直接不就不建议操作了，首先官方目前2个修复版本均发现可以绕过，尚无稳定版本，并且各组件还是需要考虑可能兼容等问题。（更新：可以参考临时方法5直接更新版本号）

3、不要觉得spring boot默认使用了logback就万事大吉。先看看有多少组件使用了log4j
https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core/usages?p=1

可以看到常用的jedis，mybatis,druid基本都在用。

但是不要怕，阅读官方文档我们可以得知，他们都是按序加载日志组件的，如果都没有才会导致无日志或者可能异常。基本上加载列表都是这些：
log4j 、log4j2 、 slf4j 、 commons-logging 、 jdklogging

4、所以我们只需要不配置spring-boot-starter-log4j2 使用spring boot 默认的logback即可。代码中使用lombok的@Slf4j 输出日志即可。

5、但是。。。。
打包spring boot 的jar程序，解压后会发现包里面居然还有log4j相关的api包log4j-api-2.x、log4j-to-slf4j、log4j-core（路径：\BOOT-INF\lib)

6、结论：为了保险起见我们需要屏蔽log4j的相关依赖（建议先用临时方法紧急处理，再执行根本处理）
（1）、取消项目中使用spring-boot-starter-log4j2配置。
（2）、使用spring boot 默认的logback日志组件，无需单独引用。
（3）、代码中使用@Slf4j 输出日志
（4）、保险起见：屏蔽log4j2的其他组件引用。

<dependency>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-starter</artifactId>
	<exclusions>
		<exclusion>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-api</artifactId>
		</exclusion>
		<exclusion>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-core</artifactId>
		</exclusion>
		<exclusion>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-to-slf4j</artifactId>
		</exclusion>
	</exclusions>
</dependency>

SpringCloud直接最外层pom排除即可

<build>
<plugins>
  <plugin>
	<groupId>org.springframework.boot</groupId>
	<artifactId>spring-boot-maven-plugin</artifactId>
	<configuration>
	  <excludes>
		<exclude>
		  <groupId>org.apache.logging.log4j</groupId>
		  <artifactId>log4j-api</artifactId>
		</exclude>
		<exclude>
		  <groupId>org.apache.logging.log4j</groupId>
		  <artifactId>log4j-core</artifactId>
		</exclude>
		<exclude>
		  <groupId>org.apache.logging.log4j</groupId>
		  <artifactId>log4j-to-slf4j</artifactId>
		</exclude>
	  </excludes>
	</configuration>
  </plugin>
</plugins>
</build>

（5）、重新打包，运行日志输出正常，部署完成。

PS：这个是目前代码方法之一，建议先临时上紧急方法，然后评估成本修改代码方法。修改后，再观望官方推荐方法，毕竟目前还没有一个稳定的修复版本，最后应该会有一个比较达成共识的最终方法。