升级ESAPI至2.5.2.0时遇ClassNotFoundException: JavaLogFactory缺失

可能的原因及对应解决步骤 #

1. 旧版配置与新版本不兼容 #

ESAPI 2.2.0.0到2.5.2.0之间，日志实现的配置逻辑有调整。如果你的ESAPI.properties保留了旧版的ESAPI.Logger配置：

• 打开ESAPI.properties文件，检查ESAPI.Logger项：
  • 若配置为org.owasp.esapi.reference.JavaLogFactory，先确认ESAPI 2.5.2.0的jar包中是否存在该类（可解压jar包查看org/owasp/esapi/reference/路径）。
  • 若该类已被移除或替换，将配置改为新版本推荐的实现，比如org.owasp.esapi.reference.Log4J2LogFactory（适配Log4J2）。

2. 依赖冲突或缺失 #

• 检查依赖完整性：确保项目构建文件（Maven/Gradle等）正确引入ESAPI 2.5.2.0的完整依赖，未排除核心模块。以Maven为例：

  <dependency>
      <groupId>org.owasp.esapi</groupId>
      <artifactId>esapi</artifactId>
      <version>2.5.2.0</version>
  </dependency>
  

• 清理旧版依赖：通过构建工具的依赖分析命令（如Maven的mvn dependency:tree）排查是否存在ESAPI 2.2.0.0的残留依赖，排除后重新构建。

3. 类路径配置错误 #

• 确保ESAPI的jar包和ESAPI.properties文件在正确的类路径下：
  • ESAPI.properties应放在项目的资源目录（如src/main/resources），确保打包后能被类加载器读取。
  • 若使用容器部署（如Tomcat），检查lib目录下仅存在ESAPI 2.5.2.0的jar包，无旧版文件残留。

4. 日志桥接依赖缺失 #

如果项目使用第三方日志框架（如Log4J、SLF4J），ESAPI 2.5.2.0需要对应的桥接依赖：

• 以Log4J2为例，添加以下依赖：

  <dependency>
      <groupId>org.owasp.esapi</groupId>
      <artifactId>esapi-log4j2-logger</artifactId>
      <version>2.5.2.0</version>
  </dependency>
  

  同时将ESAPI.properties中的ESAPI.Logger设置为org.owasp.esapi.reference.Log4J2LogFactory。

内容的提问来源于stack exchange，提问作者Mahesh