Log4j2发布2.16.0,删除Message Lookups,加固漏洞防御

最近,我花了两周的时间,给大家整理了一波最新的面经。内容包含BAT、字节等一众大厂的真实面试经历的分享,点击这里赶紧领取吧!

昨天,Apache Log4j 团队再次发布了新版本:2.16.0!

2.16.0 更新内容

  • 默认禁用JNDI的访问,用户需要通过配置log4j2.enableJndi参数开启
  • 默认允许协议限制为:java、ldap、ldaps,并将ldap协议限制为仅可访问Java原始对象
  • Message Lookups被完全移除,加固漏洞的防御

更多细节,可以通过官网查看:https://logging.apache.org/log4j/2.x/

如果您正在学习Spring Boot,那么推荐一个连载多年还在继续更新的免费教程:https://blog.didispace.com/spring-boot-learning-2x/

Spring Boot用户如何升级

Spring Boot用户依然可以通过前几天分享的Spring Boot应用简易升级Spring Boot下所有log4j版本的方法,去全局调整log4j2的版本。

如果你懒得看之前的文章,也可以通过下图了解具体如何修改: