security - 如何避免 Logback 中的 CRLF(回车换行) - CWE 117

Question

我正在使用 Logback，并且在记录用户参数时需要避免 CRLF(回车换行)。
我尝试在静态 map PatternLayout.defaultConverterMap 上添加扩展 ClassicConverter 的类，但它不起作用。

谢谢，

Answer 1

您应该按照logback documentation中的描述创建自定义布局。

自定义布局:

package com.foo.bar;

import ch.qos.logback.classic.PatternLayout;
import ch.qos.logback.classic.spi.ILoggingEvent;

public class RemoveCRLFLayout extends PatternLayout {

    @Override
    public String doLayout(ILoggingEvent event) {
        return super.doLayout(event).replaceAll("(\\r|\\n)", "");
    }

}

登录配置:

<encoder class="ch.qos.logback.core.encoder.LayoutWrappingEncoder">
    <layout class="com.foo.bar.RemoveCRLFLayout">
        <pattern>%d %t %-5p %logger{16} - %m%n</pattern>
    </layout>
</encoder>