SpringBoot及SpringCloud解决Apache Log4j任意代码执行漏洞方法(log4j2)，附临时紧急处理方法5选1。【完全清理解决三方组件引用】

本方法主要用于配置修改，完全清理spring boot已经去除了spring-boot-starter-log4j2并切换使用logback，打包依然发现存在log4j相关包存在的解决办法。
现阶段不建议修改log4j2版本号，首先官方目前2个修复版本均发现可以绕过，尚无稳定版本，并且各组件还是需要考虑可能兼容等问题。（更新：可以参考临时方法5直接更新版本号）

背景就不多讲了，附临时修改方法（5选1）：
（1）. jvm参数 -Dlog4j2.formatMsgNoLookups=true
（2）. log4j2.formatMsgNoLookups=True
（3）.系统环境变量 FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS 设置为true

echo  FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS=true >> /etc/profile
source  /etc/profile  
echo $FORMAT_MESSAGES_PATTERN_DISABLE_LOOKUPS

log4j2的版本2.10 到 2.14.1 ：
echo  LOG4J_FORMAT_MSG_NO_LOOKUPS=true >> /etc/profile
source  /etc/profile  
echo $LOG4J_FORMAT_MSG_NO_LOOKUPS

（4）.上waf
（5）.直接修改pom引用版本号（打包运行正常即可），多模块放至最外层pom即可

JDK7升级至2.12.2，>=JDK8升级至2.17.0

    2.17.0

配置修改方法：直接正题…(当然，也可以直接看最后结论)
1、非spring boot项目可以直接修改版本号解决。
2、spring boot 内置默认配置了log4j2的版本号，修改log4j2版本号的方法直接不就不建议操作了，首先官方目前2个修复版本均发现可以绕过，尚无稳定版本，并且各组件还是需要考虑可能兼容等问题。（更新：可以参考临时方法5直接更新版本号）

image.png

3、不要觉得spring boot默认使用了logback就万事大吉。先看看有多少组件使用了log4j
https://mvnrepository.com/artifact/org.apache.logging.log4j/log4j-core/usages?p=1

可以看到常用的jedis，mybatis,druid基本都在用。

image.png

image.png

image.png

但是不要怕，阅读官方文档我们可以得知，他们都是按序加载日志组件的，如果都没有才会导致无日志或者可能异常。基本上加载列表都是这些：
log4j 、log4j2 、 slf4j 、 commons-logging 、 jdklogging

4、所以我们只需要不配置spring-boot-starter-log4j2 使用spring boot 默认的logback即可。代码中使用lombok的@Slf4j 输出日志即可。

5、但是。。。。
打包spring boot 的jar程序，解压后会发现包里面居然还有log4j相关的api包log4j-api-2.x、log4j-to-slf4j、log4j-core（路径：\BOOT-INF\lib)

image.png

image.png

image.png

6、结论：为了保险起见我们需要屏蔽log4j的相关依赖
（1）、取消项目中使用spring-boot-starter-log4j2配置
（2）、使用spring boot 默认的logback日志组件，无需单独引用。
（3）、代码中使用@Slf4j 输出日志
（4）、保险起见：屏蔽log4j2的其他组件引用。

    org.springframework.boot
    spring-boot-starter
    
        
            org.apache.logging.log4j
            log4j-api
        
        
            org.apache.logging.log4j
            log4j-core
        
        
            org.apache.logging.log4j
            log4j-to-slf4j
        
    

SpringCloud直接最外层pom排除即可

  
    org.springframework.boot
    spring-boot-maven-plugin
    
      
        
          org.apache.logging.log4j
          log4j-api
        
        
          org.apache.logging.log4j
          log4j-core
        
        
          org.apache.logging.log4j
          log4j-to-slf4j
        
      
    
  

（5）、重新打包，运行日志输出正常，部署完成。

PS：这个是目前代码方法之一，建议先临时上紧急方法，然后评估成本修改代码方法。修改后，再观望官方推荐方法，毕竟目前还没有一个稳定的修复版本，最后应该会有一个比较达成共识的最终方法。