Log4j 1.x桥接jar支持周期及停服影响技术咨询

1. Apache对该桥接库的支持时长为多久？ #

log4j-1.2-api是Log4j 2生态的核心组成部分，它的支持周期完全和Log4j 2主版本的生命周期绑定：

• 针对Log4j 2的长期支持（LTS）版本，Apache会提供至少3年的维护服务，包括安全补丁推送、bug修复等，直到下一个LTS版本发布后1年左右，才会终止该版本的支持。
• 如果使用的是非LTS版本的Log4j 2，对应的桥接库支持周期会更短，通常是到下一个非LTS版本发布后6个月就停止维护。
  具体的支持终止时间可参考Apache官方的版本规划，但核心逻辑是桥接库的支持不会脱离Log4j 2主版本单独存在。

2. 若该桥接库停止支持会产生什么影响？ #

• 安全风险不可控：停止支持后，桥接库中发现的新安全漏洞不会再得到官方补丁修复。作为衔接Log4j 1.x API和2.x核心的中间层，漏洞可能被攻击者利用，直接威胁应用的安全性。
• 兼容性故障频发：后续Log4j 2核心版本更新时，停止维护的桥接库可能出现不兼容情况，导致日志功能异常，比如日志无法输出、应用启动报错、日志格式混乱等问题。
• 故障排查无官方支撑：遇到桥接库相关的bug或运行故障时，无法获得Apache官方的技术支持，只能依赖社区零散的解决方案或自行排查，问题解决效率会大幅降低。
• 合规隐患凸显：如果公司处于对软件组件维护状态有严格要求的行业（如金融、医疗），使用停止维护的桥接库可能违反合规标准，引发合规检查问题。

内容的提问来源于stack exchange，提问作者Vishal Dosala