springfox-swagger2 3.0.0版本日志注入安全漏洞修复方案咨询

核心处理方案 #

• 优先替换停止维护的Springfox组件
  Springfox在2020年发布3.0.0版本后已停止官方维护，不会针对该漏洞发布官方补丁，最优解是将所有Springfox依赖替换为仍在活跃维护的springdoc-openapi组件，可完全兼容原有Swagger接口文档功能，且不存在该日志注入漏洞：

  • 若项目使用Spring Boot 2.x，引入springdoc-openapi 1.x版本依赖即可
  • 若项目使用Spring Boot 3.x，引入springdoc-openapi 2.x版本依赖即可
    替换完成后删除原有pom.xml中的springfox-swagger-common、springfox-swagger2等所有Springfox相关依赖即可。

• 临时缓解方案（暂不替换组件时使用）

  • 关闭生产环境Swagger入口：若Swagger接口文档仅用于开发、测试场景，直接在生产环境配置文件中添加配置springfox.documentation.enabled=false，关闭Swagger功能，避免外网攻击者访问触发漏洞。
  • 日志层增加转义防护：修改日志框架（Logback/Log4j2等）的输出规则，对日志内容中的换行符（\n、\r）、制表符等特殊字符做强制转义，即使恶意内容被写入日志也无法伪造多条日志条目。
  • 请求层增加参数过滤：新增拦截器拦截所有Swagger相关接口请求，对请求参数、请求路径中的特殊字符（含URL编码后的换行符%0A、%0D）做过滤或转义处理，避免未信任的恶意数据进入日志链路。

效果验证 #

修复完成后重新运行Whitesource依赖安全扫描，确认漏洞告警已消除；同时可手动构造携带换行符的恶意请求访问Swagger相关接口，查看日志输出确认恶意内容已被转义、未出现伪造的日志条目，即修复完成。

内容的提问来源于stack exchange，提问作者toshkaexe