如何在 JVM 中设置 Dlog4j2.formatMsgNoLookups=true？

Question

在我的一台计算机中，有 Jre1.8.0_45，而在另一台计算机中有 OpenJDK。

我想设置 JVM 标志Dlog4j2.formatMsgNoLookups=true但我不知道在哪里写这个配置。

有人可以指导我吗？

Answer 1

如果可能，升级到 Log4J 版本 2.15.0。

如果无法升级，请确保设置了 -Dlog4j2.formatMsgNoLookups=true 系统属性。 使用以下命令。

java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar

也值得一读缓解

https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-

Answer 2

如果可能，升级到 Log4j 版本 2.15.0。

Log4j 2.10及以上

如果无法升级，请确保使用以下命令设置-Dlog4j2.formatMsgNoLookups=true系统属性。

java -Dlog4j2.formatMsgNoLookups=true -jar myapp.jar

通过属性禁用查找已通过LOG4J2-2109实现，并且自Log4j 2.10起可用。

Log4j 2.10以下

从类路径中删除 JndiLookup class。 例如，您可以运行如下命令从 log4j-core 中删除 class。 对于在 jar 文件中包含 log4j 的每个应用程序，都需要执行此操作。

zip -q -d log4j-core-*.jar org/apache/logging/log4j/core/lookup/JndiLookup.class

也值得一读缓解

https://blog.cloudflare.com/inside-the-log4j2-vulnerability-cve-2021-44228/ https://spring.io/blog/2021/12/10/log4j2-vulnerability-and--log4j2-vulnerability-

Answer 3

我建议经常查看官方网站，因为今天发布了2.16.0 版本

https://logging.apache.org/log4j/2.x/security.html