从Log4j 1.x迁移至2.x：使用bridge-api后的安全与性能疑问

远程代码执行漏洞风险 #

• 只要彻底移除Log4j 1.2.16的核心依赖库，仅保留bridge-api和Log4j 2.17.2的全套组件，就不会存在Log4j相关的RCE漏洞。bridge-api只是做API调用转发，实际日志处理逻辑完全由已修复所有已知漏洞的2.17.2版本负责。
• 若仍保留1.x的核心库，哪怕搭配bridge-api使用，依然存在风险：一方面1.x本身存在安全隐患，另一方面可能引发类加载冲突，导致部分日志逻辑仍由旧库处理，埋下漏洞隐患。

性能影响 #

• 常规场景下，bridge-api的性能开销极小，几乎可以忽略。它仅做简单的API映射转发，没有复杂的额外逻辑。
• 若你的代码大量使用1.x专属的自定义扩展（比如自定义Appender、Layout），bridge的兼容处理可能带来轻微性能损耗，但这种情况并不常见，绝大多数常规日志调用不会受影响。
• 另外，Log4j 2.x本身的性能优于1.x（尤其是异步日志特性），所以整体迁移后，系统的日志性能反而可能有所提升。

内容的提问来源于stack exchange，提问作者manu