Maven阴影插件不排除工件

Question

我需要从shade插件中排除log4j工件，以避免log4j漏洞，但是，artifactSet下的exclude标记似乎不起作用。有没有解决这个问题的建议？

<groupId>org.apache.maven.plugins</groupId>
<artifactId>maven-shade-plugin</artifactId>
<version>3.2.4</version>
~~
<executions>
   <execution>
      <phase>package</phase>
      <goals>
         <goal>shade</goal>
      </goals>
      <configuration>
         <artifactSet>
            <excludes>
              <exclude>*:log4j-core:jar</exclude>
            </excludes>
         </artifactSet>
~~~

我不断发现以下错误：未能执行目标组织。阿帕奇。专家插件：maven shade插件：3.2.4:shade（默认值）on project:目标组织的执行默认值。阿帕奇。专家插件：maven shade插件：3.2.4:shade失败：插件组织。阿帕奇。专家plugins:maven shade plugin:3.2.4或其依赖项之一无法解决：找不到工件组织。阿帕奇。登录中。log4j:log4j核心：jar:2.13.0

Answer 1

我遇到了同样的问题，最后通过maven shade pluginconfig解决了这个问题。在您的情况下，要排除log4j core，您的过滤器配置必须放在artifactSet之外，如下所示。

>

查找log4j核心类路径前缀，例如org/slf4j/；

将这个类路径前缀放入过滤器排除规则中，运行cmdmvn package

使用vim攻击你的目标。jar要检查排除成功与否，您会发现org/slf4j已经消失。

欲了解更多排除信息，请参阅https://maven.apache.org/plugins/maven-shade-plugin/examples/includes-excludes.html

        <filter>
           <artifact>*:*</artifact>
           <excludes>
             <exclude>org/slf4j/**</exclude>
           </excludes>
         </filter>