春季引导父log4j2更新-漏洞修复

Question

尝试更新遗留春季引导应用程序的Spring-boot-parent-1.5.6.RELEASE) (使用多模块的log4j2 )

尝试了spring在最近的医生中提出的所有方法，但都没有奏效。

已尝试的备选办法：

选项1 -添加属性

 <properties>
    <log4j2.version>2.17.0</log4j2.version>
</properties>

选项2 -添加启动器-log4j2和排除核心，随后添加log4j核心(最新)

<dependency>
   <groupid>org.springframework.boot</groupid>
   <artifactid>spring-boot-starter-log4j2</artifactid>
   <version>2.6.1</version>
   <exclusions>
     <exclusion>
       <groupid>org.apache.logging.log4j</groupid>
       <artifactid>log4j-core</artifactid>
     </exclusion>
   </exclusions>
</dependency>
<dependency>
   <groupid>org.apache.logging.log4j</groupid>
   <artifactid>log4j-core</artifactid>
   <version>2.15.0</version>
</dependency>

选项3 --上面的选项与log4j2 api一起使用

<dependency>
 <groupid>org.springframework.boot</groupid>
 <artifactid>spring-boot-starter-log4j2</artifactid>
 <exclusions>
 <exclusion>
 <groupid>org.apache.logging.log4j</groupid>
 <artifactid>log4j-core</artifactid>
 </exclusion>
 </exclusions>
</dependency>
<dependency>
 <groupid>org.apache.logging.log4j</groupid>
 <artifactid>log4j-api</artifactid>
 <version>2.16.0</version>
</dependency>
<dependency>
 <groupid>org.apache.logging.log4j</groupid>
 <artifactid>log4j-core</artifactid>
 <version>2.16.0</version>
</dependency>

但是导入的依赖项仍然是slf4joverlog4j(1.7.25)，log4j(2.7，2.11.1)。还有什么我能做的吗？

Answer 1

选项1应该可以工作。

使用mvn clean install

• Check构建项目jar文件的内容:转到_

1. /
2. 目录并运行jar tf your-project.jar命令。应该只有log4j-core-2.17.0.jar，而不是log4j-core

的其他版本。

编辑:还更新您的子模块中的log4j核心版本。