Gradle/Java：如何安全升级log4j？

Question

鉴于最近的Log4J漏洞，升级gradle项目中传递依赖的最安全方法是什么？我的项目没有显式使用log4j（它使用logback），但它有许多依赖关系，这些依赖关系会带来易受攻击的版本（

Answer 1

将以下内容添加到您的gradle.build文件中：

configurations.all {
  resolutionStrategy.eachDependency { details ->
    if (details.requested.group == 'org.apache.logging.log4j') {
      details.useVersion '2.15.0'
      details.because 'zero-day-exploits suck'
    }
  }
}

dependencies {
…
}

请注意，正如文件所指出的：

以下机制允许您编写直接注入解析引擎的规则。因此，它们可以被视为强力解决方案，可能隐藏未来的问题（例如，如果添加了新的依赖项）。因此，一般的建议是，只有在其他手段不够的情况下才使用以下机制。

我意识到OP要求升级依赖项的“最安全”方法——我选择将其解释为最有可能删除零日漏洞。尽管如此，我还是认识到这种蛮力方法并不能保证库之间的兼容性，但是这应该确保没有易受攻击的log4j版本最终出现在您的依赖树/构建中。

当然，您应该在进行更改后运行gradle依赖项，以确保更改已经完成，并且没有任何遗留的版本存在问题。

更新：按照此处的建议，删除了版本比较。