强制指定log4j版本（打包后也没问题）

最新推荐文章于 2025-10-20 09:09:53 发布

原创最新推荐文章于 2025-10-20 09:09:53 发布 · 1.5k 阅读

0 ·

CC 4.0 BY-SA版权

文章标签：

#java #jar #apache

java开发同时被 2 个专栏收录

53 篇文章

订阅专栏

漏洞修复

2 篇文章

订阅专栏

针对近期的log4j漏洞问题，本文介绍了如何通过在公共依赖管理或单独服务的POM配置中，强制指定log4j版本为2.17.2，以确保所有涉及log4j的组件都已更新，提升系统安全性。

背景：

log4j漏洞从去年升级了好几个版本，确实已经让大家很烦躁了，但还是得要处理下

动手：

一般来说多个服务依赖都会引用同一个公共依赖管理，来减少版本冲突，这样我们直接在公共依赖里面强制指定即可。

1、公共依赖POM设置：

<properties>
    <log4j.version>2.17.2</log4j.version>
    <!--这个是指定一些依赖中的版本-->
    <log4j2.version>2.17.2</log4j2.version>
</properties>


   <dependencyManagement>
        <dependencies>
    
            <dependency>
                <groupId>org.apache.logging.log4j</groupId>
                <artifactId>log4j-api</artifactId>
                <version>${log4j.version}</version>
            </dependency>
            <dependency>
                <groupId>org.apache.logging.log4j</groupId>
                <artifactId>log4j-core</artifactId>
                <version>${log4j.version}</version>
            </dependency>
            <dependency>
                <groupId>org.apache.logging.log4j</groupId>
                <artifactId>log4j-to-slf4j</artifactId>
                <version>${log4j.version}</version>
            </dependency>
            <dependency>
                <groupId>org.apache.logging.log4j</groupId>
                <artifactId>log4j-slf4j-impl</artifactId>
                <version>${log4j.version}</version>
            </dependency>
            
        </dependencies>
    </dependencyManagement>

2、单独的服务

只有一个服务，也没引用公共的依赖怎么搞呢，也是一样的

POM设置

<properties>
    <log4j.version>2.17.2</log4j.version>
    <!--这个是指定一些依赖中的版本-->
    <log4j2.version>2.17.2</log4j2.version>
</properties>

  <dependencies>
  
        <!--强制指定log4j版本-->
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-api</artifactId>
            <version>${log4j.version}</version>
        </dependency>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-core</artifactId>
            <version>${log4j.version}</version>
        </dependency>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-to-slf4j</artifactId>
            <version>${log4j.version}</version>
        </dependency>
        <dependency>
            <groupId>org.apache.logging.log4j</groupId>
            <artifactId>log4j-slf4j-impl</artifactId>
            <version>${log4j.version}</version>
        </dependency>

    </dependencies>