如何在maven中升级嵌套依赖log4j版本？

Question

这与在log4j2 Java日志记录包https://www.lunasec.io/docs/blog/log4j-zero-day/中发现的0天漏洞有关。

下面是我的代码: pom.xml

    <dependency>
        <groupId>org.hibernate.orm</groupId>
        <artifactId>hibernate-core</artifactId>
        <version>6.0.0.Alpha7</version>
        <scope>provided</scope>
     </dependency>

     <dependency>
        <groupId>org.hibernate</groupId>
        <artifactId>hibernate-envers</artifactId>
        <version>6.0.0.Alpha5</version>
     </dependency>

    <dependency>
        <groupId>org.hibernate.validator</groupId>
        <artifactId>hibernate-validator</artifactId>
        <version>6.0.13.Final</version>
     </dependency>

以上每个依赖项都有一个内部依赖项。

   <dependency>
        <groupId>org.jboss.logging</groupId>
        <artifactId>jboss-logging</artifactId>
    </dependency>

jboss使用log4j ? log4j 1.2.16 org.apache.logging.log4j ? log4j-api 2.11.2

如何更新pom.xml以使用org.apache.logging.log4j ?log4j核心版本:2.15.0？

任何帮助都将不胜感激！谢谢

Answer 1

您应该将2依赖项(log4j-api和log4j-core)与新版本放在pom中的dependencyManagment部分中。Maven将解析到此版本的内部传递依赖关系。