由 log4j2 漏洞爆发引发的疑问，为什么这么多框架要引入 log4j2，不应该是仅引入 slf4j 吗

[jiangxin]

可能之前未表述清楚，我认为最好的方式应该是框架引入 slf4j ，使用框架的项目引入 log4j2 或者其他实现

这个疑问之前就产生过，一直没有真正找寻过原因，此次核弹级漏洞引发整个圈内颤抖，是时候探究一下这个疑问了

[blessingsi]

理解楼主的问题。如果是一个纯框架 /库，应该是不需要引入具体实现的，但是实际跑在线上的应用，不可能不引入一个实际实现吧。log4j2 的性能确实比 logback 更好

[FEINIAO233]

@fighterhit springboot 默认使用的 logback 作为日志框架的实现

[securityCoding]

组件里面用 slf4j ，应用里面还是要引入底层实现包的

[fighterhit]

@FEINIAO233 那为啥还会用到 log4j-api 这个包呢？

[0017]

感觉 logback 用的更多?毕竟是默认的

[fpure]

@wineast log4j-to-slf4j 是用 slf4j 实现的对 log2j 的适配器，springboot 官方解释了没事的

[jiangxin]

@blessingsi 终于看到一个满意的答案了，还是要吐槽一些框架，明明没有独立运行的场景，还是引入了 log4j 。比如 mybatis

[jiangxin]

@muooOOO 过了这段魔鬼赛程，就能看出来能不能争冠了

[guoli100]

官方解释
https://spring.io/blog/2021/12/10/log4j2-vulnerability-and-spring-boot

[WeSoniC]

Spring Boot 本身有一个快速上手的 Tag ，开发者并不需要去关心细枝末节，只要引入几个 xxx-starter ，写两行配置文件就可以开始搞业务代码，开发者并不需要关心日志实现是 log4j 还是 logback ，反正 TM 的能在终端看到输出就完事了。也就是说能够快速上手是因为有人帮你做了选择。