在log4jxml配置文件中放置formatMsgnolookup的位置

Question

我用一个xml文件配置log4j，但我不确定在哪里添加格式msgnolookups=true？

<?xml version="1.0" encoding="UTF-8"?>
<!--  Upload files compare config -->
<configuration status="OFF">
  <appenders>
    <Console name="Console" target="SYSTEM_OUT">
      <PatternLayout pattern="%d{HH:mm:ss} %p - %msg%n"/>
    </Console>

    <!-- http://logging.apache.org/log4j/2.x/manual/appenders.html#RollingFileAppender -->
    <RollingFile name="File" fileName="logs/MyLogFile.log"
                          filePattern="logs/MyLogFile-%d{yyyy-MM-dd}.log"
                 ignoreExceptions="false">
      <PatternLayout>
        <Pattern>%d %p %c{1.} %m%n</Pattern>
      </PatternLayout>
    </RollingFile>
  </appenders>
  <Loggers>
    <Root level="INFO">
      <AppenderRef ref="File"/>
      <AppenderRef ref="Console"/>
    </Root>
  </Loggers>
</configuration>

Answer 1

正如@DuncG所评论的，禁用log4j查找的选项不是一个配置选项，而是一个系统属性

log4j2.formatMsgNoLookups

根据您的生态系统（spring、独立可执行文件、Tomcat web应用程序等），系统属性的设置方式可能会有所不同。从jar文件启动Java进程最简单的方法是添加

-Dlog4j2.formatMsgNoLookups=true

到您的命令行：

java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar

Answer 2

CVE-2021-44228 Log4Shell漏洞

如果可以，请升级到log4j2版本

Apache日志站点建议解决Log4j2早期版本中的JNDI查找漏洞：

1. 设置系统属性log4j2。formatMsgNoLookups
2. 将环境变量LOG4J_FORMAT_MSG_NO_LOOKUPS设置为true
3. 对于从2.0-beta9到2.10的版本。0，缓解措施是删除org/apache/logging/log4j/core/lookup/JndiLookup。类从类路径-请参见log4j核心-*。jar

第二点听起来是应用最快的，因为它可以为运行应用程序的每个用户帐户定义一次，尽管我在Java上运行grep时找不到LOG4J_FORMAT_MSG_NO_LOOKUPS源代码为2.14.0