一行配置搞定Spring?Boot項(xiàng)目的?log4j2?核彈漏洞！

時(shí)間：2021-12-13 13:50:43

關(guān)鍵字： BOOT SPRING 核彈組件

手機(jī)看文章

掃描二維碼
隨時(shí)隨地手機(jī)看文章

[導(dǎo)讀]相信昨天，很多小伙伴都因?yàn)椤癓og4j2的史詩(shī)級(jí)漏洞”忙翻了吧？看到群里還有小伙伴說(shuō)公司里還特別建了800人的群在處理...好在很快就有了緩解措施和解決方案。同時(shí)，log4j2官方也是速度影響發(fā)布了最新的修復(fù)版本。各應(yīng)用方也可以執(zhí)行較為穩(wěn)定的修復(fù)方案了。不過(guò)我看到群里發(fā)出來(lái)的各種...

相信昨天，很多小伙伴都因?yàn)椤?/span>Log4j2的史詩(shī)級(jí)漏洞”忙翻了吧？

看到群里還有小伙伴說(shuō)公司里還特別建了800 人的群在處理...

好在很快就有了緩解措施和解決方案。同時(shí)，log4j2官方也是速度影響發(fā)布了最新的修復(fù)版本。各應(yīng)用方也可以執(zhí)行較為穩(wěn)定的修復(fù)方案了。

不過(guò)我看到群里發(fā)出來(lái)的各種修復(fù)方法，還真是不好看...

所以這里也提一下Spring Boot用戶(hù)怎么修復(fù)最簡(jiǎn)單吧。

最簡(jiǎn)修復(fù)方式

有些小伙伴其實(shí)想到了直接通過(guò)Spring Boot的Starter去解決，所以還給Spring Boot提了Issue，希望spring-boot-starter-log4j2可以支持最新的2.15版本（提Issue的時(shí)候還是rc1，現(xiàn)在已經(jīng)release了）

但熟悉Spring Boot組件的版本機(jī)制的話(huà)，其實(shí)這個(gè)并不需要特地發(fā)版解決。只需要加個(gè)簡(jiǎn)單配置就可以了，具體如下圖：

是的，就是這么簡(jiǎn)單，只需要在pom.xml中像下面配置就可以了：

2.15.0

如果您正在學(xué)習(xí)Spring Boot，那么推薦一個(gè)連載多年還在繼續(xù)更新的免費(fèi)教程：http://blog.didispace.com/spring-boot-learning-2x/后記

不知道大家有沒(méi)有發(fā)現(xiàn)，最近幾次因?yàn)槁┒从绊懙轿覀僑pring Boot應(yīng)用的都不是Spring Boot原裝的東西。

比如：這次的Log4j2，其實(shí)并不是Spring Boot默認(rèn)使用的日志組件，Spring Boot默認(rèn)使用Logback。所以這次沒(méi)有去更改日志組件的小伙伴們昨天都在群里看熱鬧。。。

而再之前比較嚴(yán)重的漏洞大多都是由另外一位第三方組件引起的，相信你也猜到是誰(shuí)了吧？

對(duì)的，就是Fastjson。

Spring Boot默認(rèn)的JSON字符串序列化和反序列化工具是Jackson，而并非Fastjson。不過(guò)不知道從什么時(shí)候開(kāi)始，就開(kāi)始流行Fastjson的方案（我記得XML配置時(shí)代就開(kāi)始了，可能是性能考慮？）。

最近我這邊因?yàn)檫€是都用原裝組件，所以都沒(méi)碰到這些問(wèn)題，還挺舒坦的。所以，最后還是建議大家如果沒(méi)有沒(méi)有碰到什么特別的性能要求，或其他原裝組件無(wú)法完成的任務(wù)時(shí)候，再去采用其他方案來(lái)替換默認(rèn)方案，這樣會(huì)更加穩(wěn)定。畢竟，默認(rèn)方案除了Spring官方，整個(gè)生態(tài)也是應(yīng)用最為廣泛的，它們更經(jīng)得起考驗(yàn)。

最后，調(diào)研下，大家平時(shí)使用都替換了哪些Spring Boot的默認(rèn)組件呢？留言區(qū)告訴大家吧~