为什么Maven要下载log4j-1.2.12。罐子

Question

我正试图从maven项目中删除所有易受攻击的log4j依赖项。

我在pom中使用log4j 2.16依赖项，并在其他依赖项中添加了log4j和sl4j的排除项。

尽管如此，每当我运行maven包目标时，它都会下载log4j 1.2.12 jar。

[INFO] Copying 1 resource
[INFO] 
[INFO] --- maven-compiler-plugin:3.1:compile (default-compile) @ Test ---
Downloading: https://repo.maven.apache.org/maven2/log4j/log4j/1.2.12/log4j-1.2.12.pom
Downloaded: https://repo.maven.apache.org/maven2/log4j/log4j/1.2.12/log4j-1.2.12.pom (145 B at 0.1 KB/sec)
Downloading: https://repo.maven.apache.org/maven2/log4j/log4j/1.2.12/log4j-1.2.12.jar
Downloaded: https://repo.maven.apache.org/maven2/log4j/log4j/1.2.12/log4j-1.2.12.jar (350 KB at 101.6 KB/sec)

我甚至运行了mvn dependency:tree命令，它只显示log4j 2.16。

下载log4j 1.2.12 jar的原因是什么？

Answer 1

TL；DR：这不是安全问题，但如果你认为是，请升级你的maven编译器插件。

Maven插件，即在构建项目时执行实际工作的库也有依赖关系：log4j-1.2.12是项目使用的Maven-compiler-plugin-3.1的（可传递）依赖关系。

因此，Maven下载log4j并不意味着它将与您的应用程序打包在一起。

备注：maven编译器插件的3.1版是一个相当旧的版本。此版本在默认生命周期绑定中指定，出于兼容性原因，将永远不会升级。然而，您应该在POM文件中指定更新的版本，例如：

    <build>
        <pluginManagement>
            <plugins>
                <plugin>
                    <groupId>org.apache.maven.plugins</groupId>
                    <artifactId>maven-compiler-plugin</artifactId>
                    <version>3.10.1</version>
                </plugin>
            </plugins>
        </pluginManagement>
    </build>

较新版本的maven-compiler-plugin没有log4j： log4j依赖项。