从 Apache 公告入手
Log4j 相关风险须结合实际日志组件、版本、配置与应用暴露面评估。请遵循 Apache Logging Services 当前安全指引，而非过时的安装教程或一刀切的版本建议。
务实的响应步骤
- 01清点应用与打包制品中的直接及传递日志依赖。
- 02查阅适用的 Apache 公告，包括受影响组件与版本条件。
- 03针对实际运行时选择受支持的升级或厂商支持的修复。
- 04重建、测试并部署应用，验证运行中的依赖版本。
- 05调查可能的暴露面，并与负责的安全团队协调响应。
受支持软件至关重要
Apache 声明 Log4j 1 已于 2015 年终止支持。应将不受支持的依赖视为架构与运营风险；勿遵循安装过时软件包或以关闭日志作为通用修复的历史指引。
让修复可重复
应用清单、依赖扫描、受控构建制品与可观测发布有助于团队应对紧急公告。关闭日志可能消除调查所需证据，不宜作为常规安全方案。
出版说明
本文原发表于 2023 年 3 月，已修订以移除不正确历史描述与不安全的安装建议。原文保留于编辑档案；当前行动应遵循官方公告与应用厂商要求。
常见问题