如何修复log4j漏洞-分级

Question

众所周知，log4j漏洞已经出现。我们如何在我们自己的项目中缩小这一差距？我们有机会在gradle上推出一个版本吗？

Answer 1

我自己的解决方案

constraints{
        implementation("org.apache.logging.log4j:log4j-core"){
            version{
                strictly("[2.15,3[")
                prefer("2.15.0")
            }
            because("CVE-2021-44228 : Log4j is vulnerable to remote code execution")
        }
    }

Answer 2

这是我们在spring项目中使用的解决方案，我们使用enforcedPlatform方法管理依赖关系：

dependencies {
  api(enforcedPlatform("org.springframework.boot:spring-boot-dependencies:${springBootVersion}")) {
    exclude(group: "org.apache.logging.log4j")
  }
  api(platform("org.apache.logging.log4j:log4j-bom:2.15.0")) {
    because "https://nvd.nist.gov/vuln/detail/CVE-2021-44228"
  }
}

这是设计到位的，直到我们能够升级到一个版本的Spring，而这个版本本身就是固定版本。