Log4j

一、版本关系

• Log4j 1.x ：初代日志框架，2001 年发布，Apache 已在 2015 年宣布停止维护（End of Life），无官方安全更新。
• Log4j2 ：是 Log4j 1.x 的全新重写版本（并非简单升级），2014 年发布，解决了 1.x 的性能、架构缺陷，也是 Log4Shell 漏洞（CVE-2021-44228）的核心影响对象。

两者属于 "同系列但架构完全不同" 的框架，API 有部分兼容，但核心实现、配置方式、安全风险差异极大。

二、核心差异

维度	Log4j 1.x	Log4j2
维护状态	已停更（2015 年），无安全补丁	持续维护，定期发布安全更新
核心漏洞（Log4Shell）	不受影响（无 JNDI Lookup 高危逻辑）	2.0-2.14.1 受 Log4Shell 漏洞影响
性能	单线程日志，性能一般	异步日志优化，吞吐量提升 10-100 倍
功能特性	功能基础，无异步日志、插件体系	支持异步日志、插件化、参数化日志、自定义布局
配置方式	仅支持 .properties 文件	支持 XML/JSON/YAML/Properties，配置更灵活
依赖	依赖 commons-logging	无强依赖，内置 Log4j API
异常处理	日志报错可能导致应用崩溃	日志组件异常不影响主程序运行

三、注意事项

1. Log4Shell 漏洞仅影响 Log4j2

这是最核心的安全区别：

• Log4j 1.x 没有 Log4j2 中的 Lookup 机制（尤其是 JNDI Lookup），因此完全不受 Log4Shell（CVE-2021-44228）影响；
• Log4j2 之所以爆发该漏洞，是因为其默认开启的 ${} 表达式解析功能，支持 JNDI 远程加载类，而 Log4j 1.x 无此设计。

2. Log4j 1.x 的 "隐性风险"

虽然 Log4j 1.x 没有 Log4Shell 漏洞，但因停更多年，存在其他未修复的低危漏洞（如部分场景的内存泄漏），且无法获得官方补丁，生产环境不建议使用。

3. 迁移与兼容

• 若从 Log4j 1.x 迁移到 Log4j2：
  • API 层面：Log4j2 提供了 log4j-1.2-api 适配包，可低成本替换，无需大量修改业务代码；
  • 配置层面：需重新编写配置文件（如将 .properties 改为 Log4j2 支持的 XML/JSON）。
• 若当前用 Log4j2：必须确保版本 ≥ 2.17.1（彻底修复 Log4Shell 及后续绕过漏洞）。

4. 快速判断项目用的是哪个版本

• 看依赖包名：
  • Log4j 1.x：log4j-1.2.17.jar（核心包名含版本，无 2 标识）；
  • Log4j2：log4j-core-2.xx.x.jar + log4j-api-2.xx.x.jar（核心分 api 和 core 两个包）。
• 看配置文件：
  • Log4j 1.x：log4j.properties；
  • Log4j2：log4j2.xml/log4j2.json（文件名带 2）。

四、总结

1. Log4j 1.x 是停更的旧版本，无 Log4Shell 风险，但有其他未修复漏洞，不建议生产使用；Log4j2 是主流版本，需升级到 ≥2.17.1 以规避 Log4Shell 漏洞。
2. 两者架构完全不同，Log4j2 在性能、功能、稳定性上全面优于 Log4j 1.x，是当前 Java 日志的首选。
3. 核心安全结论：Log4Shell 仅针对 Log4j2（2.0-2.14.1），Log4j 1.x 不受此漏洞影响，但仍需替换为维护中的 Log4j2。