升级至ESAPI-2.5.0.0后遇ConfigurationException错误求助

问题背景 #

为解决Black Duck的Log4j告警，升级ESAPI至2.5.0.0后出现以下错误：

org.owasp.esapi.errors.ConfigurationException: java.lang.reflect.InvocationTargetException Encoder class (org.owasp.esapi.reference.DefaultEncoder) CTOR threw exception.
        at org.owasp.esapi.util.ObjFactory.make(ObjFactory.java:129)
        at org.owasp.esapi.ESAPI.encoder(ESAPI.java:101)
        at 

        Caused by:
        java.lang.reflect.InvocationTargetException
            at sun.reflect.GeneratedMethodAccessor104.invoke(Unknown Source)
            at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)
            at java.lang.reflect.Method.invoke(Method.java:498)
            at org.owasp.esapi.util.ObjFactory.make(ObjFactory.java:86)
            ... 5 more

            Caused by:
            org.owasp.esapi.errors.ConfigurationException: java.lang.ClassNotFoundException: org.owasp.esapi.reference.Log4JLogFactory LogFactory class (org.owasp.esapi.reference.Log4JLogFactory) must be in class path.
                at org.owasp.esapi.util.ObjFactory.make(ObjFactory.java:108)
                at org.owasp.esapi.ESAPI.logFactory(ESAPI.java:139)
                at org.owasp.esapi.ESAPI.getLogger(ESAPI.java:155)

当前ESAPI.properties配置：

ESAPI.AccessControl=org.owasp.esapi.reference.DefaultAccessController

# FileBasedAuthenticator requires users.txt file in .esapi directory

ESAPI.Authenticator=org.owasp.esapi.reference.FileBasedAuthenticator
ESAPI.Encoder=org.owasp.esapi.reference.DefaultEncoder
ESAPI.Encryptor=org.owasp.esapi.reference.crypto.JavaEncryptor

ESAPI.Executor=org.owasp.esapi.reference.DefaultExecutor
ESAPI.HTTPUtilities=org.owasp.esapi.reference.DefaultHTTPUtilities
ESAPI.IntrusionDetector=org.owasp.esapi.reference.DefaultIntrusionDetector

# Log4JFactory Requires log4j.xml or log4j.properties in classpath

ESAPI.Logger=org.owasp.esapi.reference.JavaLogFactory
ESAPI.Randomizer=org.owasp.esapi.reference.DefaultRandomizer
ESAPI.Validator=org.owasp.esapi.reference.DefaultValidator

问题原因 #

错误根源是ESAPI实际加载的日志工厂类为Log4JLogFactory，而非配置文件中指定的JavaLogFactory，导致找不到对应类。可能的触发场景：

• 自定义的ESAPI.properties未被正确加载，ESAPI使用了内置的默认配置（默认日志工厂为Log4JLogFactory）
• 项目中存在多份ESAPI.properties文件（如依赖包自带），优先级高于自定义配置
• 依赖冲突导致ESAPI版本或配置文件加载异常

解决方案 #

1. 强制指定ESAPI配置文件路径 #

ESAPI加载配置的优先级由高到低为：

• 系统属性org.owasp.esapi.properties指定的路径
• classpath根目录下的ESAPI.properties
• 用户主目录.esapi/下的ESAPI.properties
• 内置默认配置

启动应用时添加JVM参数，强制加载自定义配置文件：

-Dorg.owasp.esapi.properties=classpath:ESAPI.properties

（如果配置文件不在classpath根目录，替换为实际路径，如file:/path/to/ESAPI.properties）

2. 检查并解决依赖冲突 #

使用依赖分析工具（如Maven的dependency:tree或Gradle的dependencies命令）排查：

• 是否存在多个ESAPI版本共存
• 是否有其他依赖引入了旧版ESAPI或其配置文件

若发现冲突，通过排除依赖或调整依赖优先级解决。例如Maven中排除冲突依赖：

<dependency>
    <groupId>xxx</groupId>
    <artifactId>xxx</artifactId>
    <exclusions>
        <exclusion>
            <groupId>org.owasp.esapi</groupId>
            <artifactId>esapi</artifactId>
        </exclusion>
    </exclusions>
</dependency>

3. 验证配置是否生效 #

在代码中添加调试代码，确认日志工厂是否正确加载：

import org.owasp.esapi.ESAPI;
import org.owasp.esapi.Logger;

public class ESAPITest {
    public static void main(String[] args) {
        Logger logger = ESAPI.getLogger(ESAPITest.class);
        System.out.println("当前日志工厂类：" + logger.getClass().getCanonicalName());
        System.out.println("配置的ESAPI.Logger值：" + ESAPI.securityConfiguration().getStringProp("ESAPI.Logger"));
    }
}

若输出的日志工厂类不是JavaLogFactory，说明配置未加载成功，需重新检查配置路径和优先级。

4. 按需调整日志依赖 #

如果确实需要使用Log4J作为日志实现：

• 添加Log4J依赖到项目中（例如Maven）：

<dependency>
    <groupId>log4j</groupId>
    <artifactId>log4j</artifactId>
    <version>1.2.17</version>
</dependency>

• 确保ESAPI.properties中ESAPI.Logger设置为org.owasp.esapi.reference.Log4JLogFactory

如果使用Java自带的JUL日志框架（即配置中的JavaLogFactory），则无需额外添加Log4J依赖，只需确保配置文件正确加载即可。

内容的提问来源于stack exchange，提问作者user2918699