🏆本文收录于 《Spring Boot从入门到精通》 ,专门攻坚指数提升，2023 年国内最系统+最强。
文章目录常用日志框架Log4jLogbackLog4j2Log4j1/Logback/Log4j2Java
此前的文章中通过 log4j2 AsyncAppender 的源码介绍了异步日志的用法：
springboot06、log4j2日志配置 目录 前言： 1、pom配置 2、log4j2-spring.xml配置文件 3、在application.properties中引入log4j2的配置 4、log4j使用 ---- 前言： 日志接口(slf4j) slf4j是对所有日志框架制定的一种规范、标准、接口，并不是一个框架的具体的实现，因为接口并不能独立使用，需要和具体的日志框架实现配合使用（如log4j、logback）。 接口用于定制规范，可以有多个实现，使用时是面向接口的（导入的包
对于Log4j2大家应该都不是很陌生，听说最多的应该是2021年年底出现的安全漏洞了，不过最让大家头痛的应该不仅仅是这个安全漏洞的处理，安全漏洞通过升级最新的依赖版本即可快速解决，平时在使用过程中遇到过比较多的问题应该就是日志jar包不知道如何选择？日志jar冲突引起的日志不打印问题，日志配置太过复杂不知道如何配置只能百度CV粘贴一个配置。这些日志配置其实并不复杂，主要是因为日志组件的发展历史比较充满曲折，导致了很多地方不兼容。接下来就来通过日志组件的发展历史来入手，看看Log4j2是从什么背景下产生的。
Logback 算是JAVA 里一个老牌的日志框架，从06年开始第一个版本，迭代至今也十几年了。不过logback最近一个稳定版本还停留在 2017 年，好几年都没有更新；logback的兄弟 slf4j 最近一个稳定版也是2017年，有点凉凉的意思。
Apache Log4j2 和 Logback 对比有很大的改进。除了内部设计的调整外，主要有以下几点的大升级：
对于Log4j2大家应该都不是很陌生，听说最多的应该是2021年年底出现的安全漏洞了，不过最让大家头痛的应该不仅仅是这个安全漏洞的处理，安全漏洞通过升级最新的依赖版本即可快速解决，平时在使用过程中遇到过比较多的问题应该就是日志jar包不知道如何选择？日志jar冲突引起的日志不打印问题，日志配置太过复杂不知道如何配置只能百度CV粘贴一个配置。
Java 界的日志解决方案很多，让人眼花缭乱，但常用的包括 JUL，JCL，SLF4J，Logback，Log4j / Log4j2 等。
上一篇我们介绍了Spring Boot 2.x中默认日志框架Logback的使用。今天继续说说日志，接下来我们要讲是前段时间爆出核弹漏洞的Log4j2。虽然出了漏洞，让很多小伙伴痛苦了1-2周（加班），但不可否认的是Log4j2依然是目前性能最好的日志框架。所以，当Logback性能上无法支撑的时候，替换使用Log4j2还是最为快速便捷的方法。下面，我们就来学习一下如何在Spring Boot 2.x版本中，替换Logback，使用Log4j2记录日志。
在项目开发中，都不可避免的使用到日志。没有日志虽然不会影响项目的正确运行，但是没有日志的项目可以说是Java
1 log4j2 1.1 简介 log4j2，一个日志的实现框架，是log4j的升级版本，于2014年7月正式亮相。与第一代log4j不同，log4j2完全重写了log4j的日志实现，并不是在原有基础
来源：https://juejin.cn/post/6945753017878577165
日志框架是每个系统必备的功能之一，在日常使用当中却往往没有得到应有的重视，要么跟随“前辈”，原来用什么就用什么，要么随便选择一个……甚至还有项目大量使用System.out.println来打印日志……
Log4j2漏洞出现有大半年的时间了，这个核弹级别的漏洞危害很大，但是这个漏洞检测起来却很麻烦，因为黑盒测试无法预判网站哪个应用功能在后台调用了log4j2记录日志功能。目前通用的做法就是使用burpsuite插件进行被动扫描，原理就是把所有与用户交互参数都用各种log4j2检测payload测试一遍，然后观察DNSlog中有没有访问记录。这个漏洞检测方法和SQL注入、XSS漏洞有点像，常规方法很难完全发现漏洞，有时候就连研发人员自己也搞不清楚哪些应用功能点调用了log4j2，所以这个漏洞在相当长的时间里会一直存在。
Log4j2是 Log4j 的进化版本，并提供了许多 Logback 可用的改进，同时解决了 Logback 体系结构中的一些固有问题。而且日志处理中我们会用到kafka作为日志管道。而kafka客户端依赖与Logback的兼容不是很完美，你可以选择排除依赖冲突或者使用Log4j2 。
Apache Log4j2 中存在JNDI注入漏洞，当程序将用户输入的数据进行日志记录时，即可触发此漏洞，成功利用此漏洞可以在目标服务器上执行任意代码。
日志级别分类较细,通常使用的是下面的四个级别,按优先级从高到低分别是ERROR、WARN、INFO、DEBUG
新的Log4j 2.0版本有了大幅的性能提升、新的插件系统，以及配置设置方面的很多改善。Log4j 1.x 在高并发情况下出现死锁导致cpu使用率异常飙升，而Log4j2.0基于LMAX Disruptor的异步日志在多线程环境下性能会远远优于Log4j 1.x和logback ——官方测试结果。
👨🎓作者：Java学术趴 🏦仓库：Github、Gitee ✏️博客：CSDN、掘金、InfoQ、云+社区 💌公众号：Java学术趴 🚫特别声明：原创不易，未经授权不得转载或抄袭，如需转载可联系小编授权。 🙏版权声明：文章里的部分文字或者图片来自于互联网以及百度百科，如有侵权请尽快联系小编。微信搜索公众号Java学术趴联系小编。 ☠️每日毒鸡汤：生活是世上最罕见的事情，大多数人只是存在，仅此而已。 👋大家好！我是你们的老朋友Java学术趴，今天继续给大家分享小趴Java日志框架。对于一个应用程序来说
之前都是使用SparkStreaming开发，最近打算学习一下Flink，就从官网下载了Flink 1.11，打算搞一个客户端，将程序提交在yarn上。因为Flink从1.7之后就不再提供Hadoop的依赖，所以很多依赖就要自己下载，于是各种ClassNotFoundException，其中以log*.class为首的格外猖狂，可能是因为flink和Hadoop的日志实现有点区别，就一直哐哐哐报错，slf4j、log4j、logback各种jar包十几个，百度好久也没搞清各个jar有什么区别，用在何处，就打算自己总结一下。
我们使用的是Log4j框架，框架自身提供了类似的许多api，比如isErrorEnabled()，isInfoEnabled()等，每个Level对有对应的一个判断Level是否启用的api，实际上这些api都是调用的另一个api：isEnabled。
配置文件的格式：log2j配置文件可以是xml格式的，也可以是json格式的， 配置文件的位置：log4j2默认会在classpath目录下寻找log4j2.xml、log4j.json、log4j.jsn等名称的文件，如果都没有找到，则会按默认配置输出，也就是输出到控制台，也可以对配置文件自定义位置（需要在web.xml中配置），一般放置在src/main/resources根目录下即可
Apache Log4j2 是 Log4j 的升级，对其前身 Log4j 1.x进行了重大改进，并提供了Logback 中可用的许多改进，同时修复了 Logback 架构中的一些固有问题。
在之前的一篇文章中(一次鞭辟入里的 Log4j2 异步日志输出阻塞问题的定位)，我们详细分析了一个经典的 Log4j2 异步日志阻塞问题的定位，主要原因还是日志文件写入慢了。并且比较深入的分析了 Log4j2 异步日志的原理，最后给出了一些解决方案。
为什么使用SLF4J与其他组件结合使用比单独使用log4j2或者java.util.logging要优秀呢。
log4j2设计之初是为了审计，log4j2是log4j 1.x 的升级版，参考了logback的一些优秀的设计，并且修复了一些问题，因此带来了一些重大的提升。
大家好，我是 乔戈里。今天一大早就看到群里有小伙伴说 Log4j2 的远程代码执行漏洞的事情，在这里再提示一下，以防有小伙伴还没有看到。
大家好，我是 Guide。今天一大早就看到群里有小伙伴说 Log4j2 的远程代码执行漏洞的事情，在这里再提示一下，以防有小伙伴还没有看到。
日志是一个系统经常用到的功能，我们可以在调试的时候依靠日志查看输出，在程序运行的时候通过查看日志判断程序运行状态。在Java世界中，有一个非常著名的日志类库——Log4j。现在Log4j也有了新版本，就是Log4j2。新版本的好处我就不多说了。让让我们来开始使用吧。
同时升级log4j-api、log4j-core 为 2.15.0 后测试结果：
Log4J2漏洞涉及的影响太广了，昨天发文后很多粉丝留言问Spring Boot项目是否受到Log4J2漏洞影响。Spring官方已经全面进行了排查，现在大家可以知道这些信息和应对方法。
diary_report.jpg What did you do today 日志门面有：jcl(Apache Commons Logging), slf4j, jboss-logging(不是服务大众的)。日志实现有：log4j, log4j2,logback,jul(java.util.logging)。公司的日志框架选型是slf4j + log4j2。现在捋一捋他们之间的关系，进行jar包总结。 log4j1 : log4j.jar有log4j的全部内容。 log4j2：log4j-api包
在实际开发项目中，日志永远是一个绕不开的话题。本系列文章试图以slf4j和log4j2日志体系为例，从源码角度分析日志工作原理。
Log4j2是Apache的一个开源项目，通过使用Log4j2，我们可以控制日志信息输送的目的地是控制台、文件、GUI组件，甚至是套接口服务器、NT的事件记录器、UNIX Syslog守护进程等；我们也可以控制每一条日志的输出格式；通过定义每一条日志信息的级别，我们能够更加细致地控制日志的生成过程。最令人感兴趣的就是，这些可以通过一个配置文件来灵活地进行配置，而不需要修改应用的代码。
时间回到1996年，欧洲安全电子市场（EU SEMPER）项目正进行得如火如荼。项目组成员意识到，他们需要一个强大的程序跟踪API来辅助开发。这就是Log4j的雏形。经过不断的迭代和完善，Log4j逐渐崭露头角，成为了Java社区中炙手可热的日志框架。
前些天 Apache Log4j2 接连报了几个重大漏洞，好在我们的系统使用的 logback，可当我们正庆幸的时候，logback 也爆出漏洞了。今天我们一起来看一下这几个漏洞。
log4j2是一个比较新的日志框架，作为log4j的升级版本，修复了它的锁竞争问题提升了性能，提供了丰富的组件支持以及良好的语义配置。
目前常用的 Java 日志框架有 Log4j、Logback、Log4j2 ，性能方面推荐使用异步的 Log4j2，具体对比不多做分析，前人早已完成耕荒，我们就站在巨人的肩膀上来看看如何实操。
Java的日志输出是指在程序运行时，通过记录一系列信息来了解程序的执行情况和状态，并将这些信息输出到控制台或者文件中等目的地。
近日，网络上出现 Apache Log4j2 远程代码执行漏洞。攻击者可利用该漏洞构造特殊的数据请求包，最终触发远程代码执行。由于该漏洞影响范围极广，建议广大用户及时排查相关漏洞，经过白帽汇安全研究院分析确认，目前市面有多款流行的系统都受影响。
Slf4j&logback&log4j2之间的关系，以及slf4j&log4j的使用
2021年11月中国软件工程师陈兆军发现了一个在Java服务中常用日志组件Log4j2的一个高危漏洞，并提交给官方。
我们以Springboot集成Log4j2为例，详细说明Springboot框架下Log4j2是如何工作的，你可能会担心，如果是使用Logback日志框架该怎么办呢？
使用 Log Facade 可以⽅方便便的切换具体的日志实现。⽽且，如果依赖多个项目，使⽤了不同的 Log Facade，还可以⽅方便便的通过 Adapter 转接到同一个实现上。如果依赖项目直接使用了多个不同的日志实现，会非常糟糕。
使用过Log4J和LogBack的同学肯定能发现，这两个框架的设计理念极为相似，使用方法也如出一辙。其实这个两个框架的作者都是一个人，Ceki Gülcü，俄罗斯程序员。
Log4j + Slf4j 的使用组合最为常见，但是我们知道 Log4j 目前已经停止更新了。Apache推出了新的 Log4j2 来代替 Log4j，Log4j2 是对Log4j 的升级，与其前身 Log4j 相比有了显着的改进，并提供了许多 Logback 可用的改进，同时解决了 Logback 体系结构中的一些固有问题。因此，Log4j2 + Slf4j 应该是未来的大势所趋。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频
