JeecgBoot与Log4j漏洞：深入剖析与解决方案

2023-12-02 03:57:20

JeecgBoot与Log4j漏洞：深入分析和解决方案

引言

最近席卷全球的Log4j2漏洞让开发人员如临大敌，争相排查自家系统是否存在安全隐患。作为国内备受推崇的SpringBoot框架，JeecgBoot自然也备受关注。本文将深入剖析JeecgBoot是否受到Log4j漏洞的影响，并提出相应的解决对策。

JeecgBoot与Log4j

JeecgBoot采用的是logback作为日志记录框架，而Log4j漏洞主要影响log4j2。因此，理论上JeecgBoot不受此次漏洞的影响。

升级Logback版本

尽管JeecgBoot没有受到直接影响，但鉴于Log4j和Logback同属Apache旗下的日志记录框架，出于安全考虑，建议升级Logback版本至最新版本（1.2.11）。 升级方法如下：

<dependency>
    <groupId>org.slf4j</groupId>
    <artifactId>slf4j-api</artifactId>
    <version>1.7.36</version>
</dependency>

<dependency>
    <groupId>ch.qos.logback</groupId>
    <artifactId>logback-classic</artifactId>
    <version>1.2.11</version>
</dependency>

关闭Log4j

对于仍然忧心忡忡的开发者，可以选择关闭Log4j。 具体操作如下：

在log4j.properties或log4j2.properties配置文件中，添加以下配置：

log4j.logger.org.apache.logging.log4j=OFF

在SpringBoot启动类中，添加如下配置：

@SpringBootApplication
public class JeecgBootApplication {

    public static void main(String[] args) {
        System.setProperty("log4j.skipJansi", "true");
        SpringApplication.run(JeecgBootApplication.class, args);
    }
}