試圖排除傳遞 Log4j 依賴

Question

所以我看到其他帖子（例如Can't use hbase-shaded-client jar because its internal dependency to log4j-1.2.17(CVE-2019-1757) ）說他們有辦法排除傳遞依賴的log4j:log4j:1.2.17但是如果我運行./gradlew app:dependencies我仍然可以看到傳遞依賴項存在。

I have tried referring to the following migration doc https://logging.apache.org/log4j/2.x/manual/migration.html but Im not sure if this is just transferring the calls over from log4j 1.x over to 2 .x 在運行時或者如果它應該一起更新傳遞依賴。 我什至嘗試在我的 build.gradle 文件中排除傳遞依賴並使用 slf4j ，如下所示：

compile ('custom-library-that-I-cant-change-code-in'), {
            exclude group: 'log4j', module: 'log4j'
        }
// https://mvnrepository.com/artifact/org.slf4j/log4j-over-slf4j
implementation 'org.slf4j:log4j-over-slf4j:1.7.35'

我如何確定這是否有效，或者至少不使用舊的log4j:log4j:1.2.17還是我要解決這一切都錯了，有一種更簡單的方法可以做到這一點

Answer 1

回答你的第一個問題，如果，

compile ('custom-library-that-I-cant-change-code-in'), {
            exclude group: 'log4j', module: 'log4j'
        }

在你的 build.gradle 中試試這個

configurations {
    compile.exclude group: "log4j", module: "log4j"
}