更新 pom.xml 中子依赖项的版本

Question

在我的 Spring Boot 应用程序中，我使用的是 log4j2。

<dependency>
   <groupId>org.springframework.boot</groupId>
   <artifactId>spring-boot-starter-log4j2</artifactId>
</dependency>

默认选择哪个版本-

<version>2.1.6.RELEASE</version>

这个版本的log4j2内部使用log4j：

<dependency>
  <groupId>org.apache.logging.log4j</groupId>
  <artifactId>log4j-core</artifactId>
  <version>2.11.2</version>
  <scope>compile</scope>
</dependency>

最近宣布 - log4j 在版本 2.16 之前存在一些严重漏洞。

到目前为止还没有log4j2 的版本使用更安全的版本 - 2.17 of log4j。

所以我想首先尝试更新我的 pom 以使用 log4j 的 2.17 版本而不更改父 log4j2 版本。

我知道它可能不起作用并且可能会出现编译问题，但我仍然想先尝试一下。

我该怎么做？

Answer 1

我建议通过 bom 文件定义 log4j，如下所示：

  <dependency>
    <groupId>org.apache.logging.log4j</groupId>
    <artifactId>log4j-bom</artifactId>
    <version>2.17.0</version>
    <scope>import</scope>
    <type>pom</type>
  </dependency>

Answer 2

你可以使用<dependencyManagement>:

<dependencyManagement>
    <dependency>
        <groupId>org.apache.logging.log4j</groupId>
       <artifactId>log4j-core</artifactId>
       <version>[2.17.0,)</version>
    </dependency>
</dependencyManagement>

这会将依赖项 log4j-core（如果存在）配置为使用 2.17 或更高版本（请参阅 Version Range References）。

将dependencyManagement 部分放在您的dependencies 部分旁边。