为什么Maven更新时自动下载Log4j 1.2.16

Question

我正在开发一个JAVA Maven项目，该项目主要使用logback和slf4j进行配置。我在 Maven 依赖关系树中看不到任何 Log4j 依赖关系，这意味着 Log4j 不是传递地来自我的任何 pom XML 组件。我假设它来自一些 Maven 插件，我正在使用 eclipse 编辑器。我想完全删除该易受攻击的 Log4j 组件，因为我使用不同的日志记录框架。有什么方法可以解决这个问题，即在 Maven 更新期间停止下载 Log4j 吗？有什么方法可以知道正在获取 Log4j 的库/插件名称。请帮我解决这个问题。预先感谢！

问候， 瑞特什

Answer 1

• 检查Maven插件： 一些 Maven 插件也可能引入 Log4j 作为依赖项。查看 pom.xml 或 IDE 配置（如 Eclipse 设置）中配置的插件。查找与日志记录或构建流程相关的任何可能会拉入 Log4j 的插件。

相应地删除或更新插件。例如，如果您使用 Eclipse，请检查 Eclipse 运行配置和 Maven 配置以确保没有不必要的依赖项。

• 检查 IDE 集成： 一些 IDE 有自己的管理依赖关系的方法。在 Eclipse 中，右键单击该项目，转到“属性”，然后检查“Java 构建路径”和“Maven”设置。确保没有不必要的依赖，尤其是Log4j。