Apache Log4j2漏洞修复方案

之前因为Log4j的漏洞，所有的项目都需要升级到Log4j v2.17.1以上。

项目原有环境 ： spring boot 1.5.2 release + log4j 1.2.17

整体的改进思路 ： 

1.exclude掉现有jar包中引用的log4j

可以使用idea或者eclipse中自带的工具，一键exclude。得到的结果如下图所示。

因为项目中用到了ESAPI，而ESAPI其中包括log4j，所以我也统一把log4j相关的一起exclude

        <dependency>
		    <groupId>org.owasp.esapi</groupId>
		    <artifactId>esapi</artifactId>
		    <version>2.2.3.1</version>
		    <exclusions>
		    	<exclusion>
		    		<groupId>log4j</groupId>
		    		<artifactId>log4j</artifactId>
		    	</exclusion>
		    </exclusions>
		</dependency>

2. 再引用最新版本的log4j依赖，如下

<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-api -->
		<dependency>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-core</artifactId>
			<version>2.17.1</version>
			<exclusions>
				<exclusion>
					<groupId>org.apache.logging.log4j</groupId>
					<artifactId>log4j-api</artifactId>
				</exclusion>
			</exclusions>
		</dependency>

<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-slf4j-impl -->
		<dependency>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-slf4j-impl</artifactId>
			<version>2.17.1</version>
			<scope>test</scope>
		</dependency>

<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-api -->
		<dependency>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-api</artifactId>
			<version>2.17.1</version>
		</dependency>

<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-1.2-api -->
		<dependency>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-1.2-api</artifactId>
			<version>2.17.1</version>
			<scope>compile</scope>
			<exclusions>
				<exclusion>
					<groupId>org.apache.logging.log4j</groupId>
					<artifactId>log4j-api</artifactId>
				</exclusion>
			</exclusions>
		</dependency>

<!-- https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-jcl -->
		<dependency>
			<groupId>org.apache.logging.log4j</groupId>
			<artifactId>log4j-jcl</artifactId>
			<version>2.17.1</version>
			<exclusions>
				<exclusion>
					<groupId>org.apache.logging.log4j</groupId>
					<artifactId>log4j-api</artifactId>
				</exclusion>
			</exclusions>
		</dependency>

为什么在引入的依赖中也有exclude log4j呢？

因为我发现只是单单引入依赖的话，也会下载其他版本的log4j相关依赖，所以索性全都exclude，一了百了。如果后续还有其他更好的办法，还可以试试其他。

关于ESAPI的小tips:

更新到log4j2.X之后,esapi的配置文件也需要做出相应的改变。

更改过的配置文件如下：

ESAPI.Logger = org.owasp.esapi.logging.log4j.Log4JLogFactory
Logger.LogEncodingRequired=false
Logger.UserInfo=false
Logger.ClientInfo=false

Maven repository:

https://mvnrepository.com/