基于Logback实现Spring Boot 2.3.7日志入库的安全疑问

1. 排除Spring Boot自带Logback并使用旧版本是否安全？ #

绝对不建议这么做。Logback 1.2.8及以下版本的DBAppender被移除正是因为存在SQL注入漏洞，官方后续不会再为旧版本提供任何安全补丁。强行降级会让系统暴露在未修复的安全风险中，一旦被恶意利用，可能导致数据库篡改、敏感数据泄露等严重问题，完全不符合安全规范。

2. 切换至Log4j是否为最优选择？ #

Log4j 2.x确实曾爆出过严重安全问题，但目前官方已经修复了所有已知高危漏洞，最新稳定版本的安全性有充分保障。它的JDBC Appender功能成熟、维护活跃，完全可以替代Logback的DBAppender实现数据库日志存储。

不过“最优”需要结合项目场景判断：

• 如果项目原本基于Logback构建，切换到Log4j需要修改配置文件、调整依赖，存在一定迁移成本；
• 你也可以选择自定义Logback Appender：通过JdbcTemplate或原生JDBC实现安全的数据库日志写入，避开原DBAppender的漏洞，这样无需更换日志框架，适配成本更低。

总结：Log4j 2是可靠的替代方案，但不是唯一选择，自定义Logback Appender也是可行路径，具体根据项目迁移成本和维护偏好决定。

内容的提问来源于stack exchange，提问作者hell_storm2004