Logback 旨在成为广受欢迎的 log4j 项目的继任者,承接 log4j 1.x 版本的发展脉络。Logback 的架构设计高度通用,可适应不同场景需求。目前该框架分为三个模块:logback-core、logback-classic 和 logback-access。
Logback 1.5.35 现已发布,具体更新内容包括:
<if>元素中的“condition”属性现在拒绝 Unicode 转义序列(\u 和 \U)。这修复了 Janino 评估条件中绕过现有 new 运算符禁用规则的漏洞。CVE-2026-13006
- 新增了
ConfiguratorRank.AUTHENTICATING最高配置器等级(rank 100),用于通过 ServiceLoader 机制发现的已认证/已验证配置器。ContextInitializer现在要求类路径中最多只能存在一个此类配置器;如果找到多个,则初始化将中止并报错。
ConsoleCharsetPropertyDefiner不再随软件发布。logback-core 的 Java 21 多版本编译已被禁用,因此该类已从发布的工件中移除。引用此类的ch.qos.logback.core.property.ConsoleCharsetPropertyDefiner配置需要采用其他方法来检测控制台字符集。
- logback-examples 模块现已包含在发布到 Maven Central 的工件中。
JoranConfigurator.makeAnotherInstance()和DefaultJoranConfigurator.performMultiStepConfigurationFileSearch()现在是 protected,允许派生配置器 override 这些方法。
- 可以通过从与标签 v_1.5.35 关联的 commit 08bd159 处从源代码构建,获得与本版本二进制完全相同的版本。Release built using Java "21" 2023-10-17 LTS build 21.0.1.+12-LTS-29 under Linux Debian 11.6.
更新说明:https://github.com/qos-ch/logback/releases/tag/v_1.5.35