關(guān)于Spring?Boot項(xiàng)目的?log4j2?核彈漏洞問題(一行代碼配置搞定)
看到群里還有小伙伴說公司里還特別建了800+人的群在處理...
好在很快就有了緩解措施和解決方案。同時(shí)，log4j2官方也是速度影響發(fā)布了最新的修復(fù)版本。各應(yīng)用方也可以執(zhí)行較為穩(wěn)定的修復(fù)方案了。
不過我看到群里發(fā)出來的各種修復(fù)方法，還真是不好看...所以這里也提一下Spring Boot用戶怎么修復(fù)最簡(jiǎn)單吧。
最簡(jiǎn)修復(fù)方式
有些小伙伴其實(shí)想到了直接通過Spring Boot的Starter去解決，所以還給Spring Boot提了Issue，希望spring-boot-starter-log4j2可以支持最新的2.15版本（提Issue的時(shí)候還是rc1，現(xiàn)在已經(jīng)release了）
但熟悉Spring Boot組件的版本機(jī)制的話，其實(shí)這個(gè)并不需要特地發(fā)版解決。只需要加個(gè)簡(jiǎn)單配置就可以了，具體如下圖：
是的，就是這么簡(jiǎn)單，只需要在pom.xml中像下面配置就可以了：
<properties>
<log4j2.version>2.15.0</log4j2.version>
</properties>
如果您正在學(xué)習(xí)Spring Boot，那么推薦一個(gè)連載多年還在繼續(xù)更新的免費(fèi)教程：http://blog.didispace.com/spring-boot-learning-2x/
后記
不知道大家有沒有發(fā)現(xiàn)，最近幾次因?yàn)槁┒从绊懙轿覀僑pring Boot應(yīng)用的都不是Spring Boot原裝的東西。
比如：這次的Log4j2， 其實(shí)并不是Spring Boot默認(rèn)使用的日志組件，Spring Boot默認(rèn)使用Logback。所以這次沒有去更改日志組件的小伙伴們昨天都在群里看熱鬧。。。
而再之前比較嚴(yán)重的漏洞大多都是由另外一位第三方組件引起的，相信你也猜到是誰了吧？
對(duì)的，就是Fastjson。
Spring Boot默認(rèn)的JSON字符串序列化和反序列化工具是Jackson，而并非Fastjson。不過不知道從什么時(shí)候開始，就開始流行Fastjson的方案（我記得XML配置時(shí)代就開始了，可能是性能考慮？）。
最近DD這邊因?yàn)檫€是都用原裝組件，所以都沒碰到這些問題，還挺舒坦的。所以，最后還是建議大家如果沒有沒有碰到什么特別的性能要求，或其他原裝組件無法完成的任務(wù)時(shí)候，再去采用其他方案來替換默認(rèn)方案，這樣會(huì)更加穩(wěn)定。畢竟，默認(rèn)方案除了Spring官方，整個(gè)生態(tài)也是應(yīng)用最為廣泛的，它們更經(jīng)得起考驗(yàn)。
最后，調(diào)研下，大家平時(shí)使用都替換哪些Spring Boot的默認(rèn)組件呢？留言區(qū)告訴大家吧~
到此這篇關(guān)于關(guān)于Spring?Boot項(xiàng)目的?log4j2?核彈漏洞問題(一行代碼配置搞定)的文章就介紹到這了,更多相關(guān)Spring?Boot?log4j2?核彈漏洞內(nèi)容請(qǐng)搜索腳本之家以前的文章或繼續(xù)瀏覽下面的相關(guān)文章希望大家以后多多支持腳本之家！
相關(guān)文章
接口，是Java語言中一種引用類型，是方法的集合，如果說類的內(nèi)部封裝了成員變量、構(gòu)造方法和成員方法，那么接口的內(nèi)部主要就是封裝了方法。本文通過一些示例詳細(xì)為大家展示了接口的使用，需要的可以參考一下2022-10-10
這篇文章主要介紹了簡(jiǎn)單記事本java源碼,以一個(gè)完整的實(shí)例形式分析了記事本的Java實(shí)現(xiàn)方法,對(duì)于Java應(yīng)用程序的開發(fā)有一定的參考借鑒價(jià)值,需要的朋友可以參考下2014-11-11
SpringBoot實(shí)現(xiàn)獲取客戶端IP地理位置
在當(dāng)今互聯(lián)的世界中,了解客戶端的地理位置對(duì)于提供個(gè)性化服務(wù)和增強(qiáng)用戶體驗(yàn)至關(guān)重要,使用本文為大家介紹了SpringBoot獲取客戶端IP地理位置的相關(guān)方法,需要的小伙伴可以參考下2023-11-11
Java中大數(shù)據(jù)推薦算法使用場(chǎng)景分析
在Java中實(shí)現(xiàn)大數(shù)據(jù)推薦算法時(shí),通常會(huì)使用一些開源的機(jī)器學(xué)習(xí)庫,如Apache Mahout、Weka、DL4J（DeepLearning4j,用于深度學(xué)習(xí)）或者Spark MLlib（用于在Spark集群上運(yùn)行）,這篇文章主要介紹了Java中可以用的大數(shù)據(jù)推薦算法,需要的朋友可以參考下2024-06-06
java實(shí)現(xiàn)漢字轉(zhuǎn)unicode與漢字轉(zhuǎn)16進(jìn)制實(shí)例
這篇文章主要介紹了java實(shí)現(xiàn)漢字轉(zhuǎn)unicode與漢字轉(zhuǎn)16進(jìn)制的實(shí)現(xiàn)方法,是Java操作漢字編碼轉(zhuǎn)換的一個(gè)典型應(yīng)用,非常具有實(shí)用價(jià)值,需要的朋友可以參考下2014-10-10
Java動(dòng)態(tài)代理之?dāng)r截器的應(yīng)用
今天小編就為大家分享一篇關(guān)于Java動(dòng)態(tài)代理之?dāng)r截器的應(yīng)用，小編覺得內(nèi)容挺不錯(cuò)的，現(xiàn)在分享給大家，具有很好的參考價(jià)值，需要的朋友一起跟隨小編來看看吧2019-01-01
如何在springMVC的controller中獲取request
這篇文章主要介紹了如何在springMVC的controller中獲取request,文中通過示例代碼介紹的非常詳細(xì)，對(duì)大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價(jià)值,需要的朋友可以參考下2019-12-12
依賴注入(Dependency Injection)和控制反轉(zhuǎn)(Inversion of Control)是同一個(gè)概念。具體含義是:當(dāng)某個(gè)角色(可能是一個(gè)Java實(shí)例，調(diào)用者)需要另一個(gè)角色(另一個(gè)Java實(shí)例，被調(diào)用者)的協(xié)助時(shí)，在傳統(tǒng)的程序設(shè)計(jì)過程中，通常由調(diào)用者來創(chuàng)建被調(diào)用者的實(shí)例2023-02-02
這篇文章主要介紹了Java創(chuàng)建ZIP壓縮文件的方法,實(shí)例分析了java創(chuàng)建zip文件的相關(guān)技巧,具有一定參考借鑒價(jià)值,需要的朋友可以參考下2015-07-07
在最近的開發(fā)中用到了dom4j來解析xml文件，所以便有了這篇文章，本文主要給大家介紹了關(guān)于java中使用dom4j解析XML文件的方法教程，文中通過示例代碼介紹的非常詳細(xì)，需要的朋友可以參考下2018-09-09