关于近期log4j漏洞问题，自我排查以及更新log4j包的思路整理

上周log4j爆出存在严重漏洞，当我第一时间收到相关推文时，只是感觉到很严重，但是对我手头项目影响有多大、有什么影响完全不知道（是的，我是一只小菜鸟）。

正好项目上有点空闲时间，于是研究了一番。log4j漏洞在于对"${}"的字样处理时可能存在异常，如果是攻击者精心设计的数据，将触发远程代码执行漏洞。

在编写代码简单测试后，我更加理解了这一漏洞，如下图：

${java:os}可以用来输出计算机系统信息，如果项目中引用的log4j存在这一漏洞，在上图打印时，不是直接输出文字：“${java:os}”，而是输出系统信息。
如果存在上图这种情况，说明我们的项目存在此漏洞，需要处理一下。
下图是不存在漏洞的情况：

如图，log正常打印出字符串。

通常我们可以再pom.xml里查询项目引用的log4j包以及各大官方声明（链接）来判断是否需要升级log4j包。此处，我当前项目用的是slf4j+logback的方案，在pom.xml中分析发现也有log4j的包，由于无法确认是否存在漏洞，故用上文方式进行简单测试。

---

关于问题处理：

如果直接引用了log4j的包，改用现在最近的包即可，

如果不是直接引用，可以exclusion掉其他包引用的版本，再引用最新的包。