spring-boot日志框架漏洞修复

版本问题
低于2.6.2的版本都存在log4j注入漏洞

方案一Log4j2
方案一Log4j2
排除spring-boot-starter中的默认logging依赖

org.springframework.boot spring-boot-starter org.springframework.boot spring-boot-starter-logging org.springframework.boot spring-boot-starter-log4j2 2.6.2

log4j2.xml:

<?xml version="1.0" encoding="UTF-8"?> third-api /home/migu/portal-third-api/logs 100 MB

 <!-- 打印出所有的信息，每次大小超过size，则这size大小的日志会自动存入按年份-月份建立的文件夹下面并进行压缩，作为存档 -->
        <RollingFile name="infoLog" fileName="${logDir}/${App}-info.log"
                     filePattern="${logDir}/${App}-info-%d{yyyy-MM-dd}-%i.log.gz">
            <PatternLayout pattern="%d{yyyy-MM-dd HH:mm:ss.SSS z} [%thread] %-5level %logger{36} %L %M - %msg%xEx%n"/>
            <Policies>
                <!--interval属性用来指定多久滚动一次，默认是1， 单位到底是月 天 小时 分钟，根据filePattern配置的日期格式而定，本处的格式为天，则默认为1天-->
                <TimeBasedTriggeringPolicy interval="1" modulate="true"/>
                <!--按大小分-->
                <SizeBasedTriggeringPolicy size="${splitSize}"/>
            </Policies>
            <Filters>
                <!-- 只记录info和warn级别信息 -->
                <!--<ThresholdFilter level="error" onMatch="DENY" onMismatch="NEUTRAL"/>-->
                <ThresholdFilter level="info" onMatch="ACCEPT" onMismatch="DENY"/>
            </Filters>
            <!-- 指定每天的最大压缩包个数，默认7个，超过了会覆盖之前的 -->
            <DefaultRolloverStrategy max="1000"/>
        </RollingFile>

    <RollingFile name="errorLog" fileName="${logDir}/${App}-error.log"
                 filePattern="${logDir}/${App}-error-%d{yyyy-MM-dd}-%i.log.gz">
        <PatternLayout pattern="%d{yyyy-MM-dd HH:mm:ss.SSS z} [%thread] %-5level %logger{36} %L %M - %msg%xEx%n"/>
        <Policies>
            <!--interval属性用来指定多久滚动一次，默认是1， 单位到底是月 天 小时 分钟，根据filePattern配置的日期格式而定，本处的格式为天，则默认为1天-->
            <TimeBasedTriggeringPolicy interval="1" modulate="true"/>
            <!--按大小分-->
            <SizeBasedTriggeringPolicy size="${splitSize}"/>
        </Policies>
        <Filters>
            <!-- 只记录error级别信息 -->
            <ThresholdFilter level="error" onMatch="ACCEPT" onMismatch="DENY"/>
        </Filters>
        <!-- 指定每天的最大压缩包个数，默认7个，超过了会覆盖之前的 -->
        <DefaultRolloverStrategy max="1000"/>
    </RollingFile>
<Loggers>
    <!-- root logger 配置,全局配置，默认所有的Logger都继承此配置 -->
    <!-- AsyncRoot - 异步记录日志 - 需要LMAX Disruptor的支持 -->
    <Root level="info">
        <AppenderRef ref="console"/>
    </Root>

    <!--第三方的软件日志级别 -->
    <logger name="org.springframework" level="info" additivity="true">
    </logger>
</Loggers>

logback-spring.xml

<?xml version="1.0" encoding="UTF-8"?>

<contextName>logback</contextName>
<!-- 彩色日志依赖的渲染类 -->
<conversionRule conversionWord="clr" converterClass="org.springframework.boot.logging.logback.ColorConverter"/>
<conversionRule conversionWord="wex"
                converterClass="org.springframework.boot.logging.logback.WhitespaceThrowableProxyConverter"/>
<conversionRule conversionWord="wEx"
                converterClass="org.springframework.boot.logging.logback.ExtendedWhitespaceThrowableProxyConverter"/>
<!-- 彩色日志格式 -->
<property name="CONSOLE_LOG_PATTERN"
          value="%magenta(%d{yyyy-MM-dd HH:mm:ss}) %highlight(%-5level) %boldCyan(${springAppName:-}) %yellow(%thread) %green(%logger) %yellow(%M) %magenta(%L) %msg%n"/>
<property name="LOG_PATTERN" value="%d{yyyy-MM-dd HH:mm:ss} %-5level ${springAppName:-} %thread %logger %M %L %msg%n"/>

<!--输出到控制台-->
<appender name="CONSOLE" class="ch.qos.logback.core.ConsoleAppender">
    <!--此日志appender是为开发使用，只配置最底级别，控制台输出的日志级别是大于或等于此级别的日志信息-->
    <filter class="ch.qos.logback.classic.filter.ThresholdFilter">
        <level>debug</level>
    </filter>
    <encoder>
        <pattern>${CONSOLE_LOG_PATTERN}</pattern>
        <charset>UTF-8</charset>
    </encoder>
</appender>

<springProfile name="uat">
    <!--指定某些模块的日志级别-->
    <logger name="com.code.generator" level="warn"/>
    <root level="warn">
        <appender-ref ref="CONSOLE"/>
    </root>
</springProfile>

<!--开发:打印控制台-->
<springProfile name="dev">
    <logger name="com.code.generator" level="debug"/>
    <root level="debug">
        <appender-ref ref="CONSOLE"/>
    </root>
</springProfile>

<!--生产环境:输出到文件-->
<springProfile name="prd">
    <logger name="com.code.generator" level="error"/>
    <root level="error">
        <appender-ref ref="CONSOLE"/>
    </root>
</springProfile>

方案二：

<dependency>
    <groupId>org.springframework.boot</groupId>
    <artifactId>spring-boot-starter</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.springframework.boot</groupId>
            <artifactId>spring-boot-starter-logging</artifactId>
        </exclusion>
    </exclusions>
</dependency>

org.springframework.boot spring-boot-starter-log4j2 org.apache.logging.log4j log4j-core org.apache.logging.log4j log4j-api org.apache.logging.log4j log4j-slf4j-impl org.apache.logging.log4j log4j-to-slf4j org.apache.logging.log4j log4j-jul org.springframework.boot spring-boot-starter-log4j2 org.apache.logging.log4j log4j-core org.apache.logging.log4j log4j-api org.apache.logging.log4j log4j-slf4j-impl org.apache.logging.log4j log4j-to-slf4j org.apache.logging.log4j log4j-jul

推荐阅读：
https://www.cnblogs.com/jockming/p/16257511.html