ESAPI从2.1.0迁移至2.3.0.0+版本时无法定位esapi-java-logging.properties

针对现有应用配置干扰的排查与修复 #

1. 检查类加载器冲突 #

ESAPI 2.3.0.0+用JavaLogFactory.class.getClassLoader().getResourceAsStream()加载配置文件，现有应用如果存在自定义类加载器、容器类加载器或模块化框架，可能导致当前类加载器无法访问应用类路径下的文件。

• 验证方式：在报错代码附近添加日志，打印JavaLogFactory.class.getClassLoader()和Thread.currentThread().getContextClassLoader()的类名，对比两者是否一致。
• 修复：若不一致，改用上下文类加载器加载（若能修改ESAPI源码）：

  InputStream stream = Thread.currentThread().getContextClassLoader().getResourceAsStream("esapi-java-logging.properties");
  

  无法修改源码的话，可自定义LogFactory实现类，指定用上下文类加载器读取配置，再在ESAPI.properties中设置ESAPI.Logger=你的自定义类全路径。

2. 确认系统属性覆盖问题 #

ESAPI会优先读取系统属性指定路径的配置，检查应用启动参数中是否存在esapi.properties.dir或org.owasp.esapi.resources。如果有，需确保这些路径下存在esapi-java-logging.properties，要么删除这些系统属性，要么将配置文件放到指定目录。

3. 检查打包部署路径 #

现有应用打包时可能未将esapi-java-logging.properties放到正确的类路径位置：

• Web应用需确保文件在WEB-INF/classes目录下；
• Jar包需确保文件在jar根目录，而非子文件夹。
  可解压打包后的文件，确认文件位置是否正确。

4. 处理日志框架冲突 #

如果应用使用了Log4j2、SLF4J这类日志框架，可能会自动替换ESAPI的默认日志工厂，导致JavaLogFactory加载异常。

• 强制指定日志工厂：在ESAPI.properties中添加一行：

  ESAPI.Logger=org.owasp.esapi.reference.JavaLogFactory
  

• 排查是否引入了esapi-log4j2-logging这类适配库，如有，可暂时移除验证。

临时应急方案 #

如果以上方法未定位到问题，可直接将esapi-java-logging.properties的内容硬编码到自定义日志工厂中：

1. 编写一个类继承JavaLogFactory，重写loadConfiguration()方法，直接用输入流读取硬编码的配置内容；
2. 在ESAPI.properties中指定这个自定义类为日志工厂。

内容的提问来源于stack exchange，提问作者stof