Question

我们使用 spring boot 2.1.5 和 starter parent 作为 pom 依赖。

Spring boot 使用默认 logback 进行日志记录，我们没有明确切换到 Log4j2 或更改任何配置。下面是我们的项目依赖树。

我们在我们的项目中有很多 lombok @ log4j2 注释。但是，我们在依赖树中发现我们没有任何 log4j2 核心 jar 依赖（已发现容易受到 log4j 最近问题的影响）。

@Log4j2
@Service
@DependsOn("applicationDependencyCheck")

是 lombok @ log4j2 不依赖于 log4j2-core.jar。这是正确的假设这将显示在 maven 依赖树或我们缺少的东西。

这是我们的龙目岛入口-

<dependency>
    <groupId>org.projectlombok</groupId>
    <artifactId>lombok</artifactId>
    <optional>true</optional>
</dependency>

请分享一些见解。

谢谢

3

0

Answer 1

@ Log4j2 公共类 LogExample {}

将生成：

公共类 LogExample {private static final org.apache.logging.log4j.Logger log = org.apache.logging.log4j.LogManager.getLogger (LogExample.class);}

这两个类都存在于 log4jAPI jar

正如这里所描述的s://logging.apache.org/log4j/2.x/log4j-api/index.htmllog4j api 只是一个接口。

我认为在这种情况下，您的代码不依赖于 log4j 核心。您可以仔细检查 build 的输出（例如 maven / target 文件夹，war 文件等）

Answer 2

绝对 @ Mariusz W.的答案是最好的。

尽管如此，我注意到您的打印显示了 logback-core-1.2.3[1]的依赖关系，它具有 CVE-2021-42550 漏洞[2]。

看着点.

Log4j2远程代码执行漏洞修复:Log4j2漏洞和Lombok注释@ log4j2

php中文转拼音：中国美食zhongguomeishi