请更新 log4j

Question

我看到您已经将 clojure/tools.logging 中的 log4j 依赖项升级了。
也请对 clojure/java.data 做同样的处理吗？这样，包括许多项目依赖的 seancorfield/next-jdbc 等项目也可以升级？
提前感谢

Answer 1

tools.logging 和 java.data 本身不依赖于 log4j，但如果你添加了依赖项，就可以使用它。

tools.logging 已更新为使用新版本进行测试，但这对于用户来说并不重要。类似地，java.data 不依赖于 log4j，也不需要更新。

Answer 2

org.clojure/java.data 不需要在依赖中添加log4j。

您可以通过运行此命令来检查它

clj -Srepro -Sdeps '{:deps {org.clojure/java.data {:mvn/version "1.0.95"}}}' -Stree

org.clojure/clojure 1.10.3
  . org.clojure/spec.alpha 0.2.194
  . org.clojure/core.specs.alpha 0.2.56
org.clojure/java.data 1.0.95
  . org.clojure/tools.logging 1.2.1

正如Alex解释的那样，data.java 或 tools.logging 都不依赖于log4j

您可以在代码中确认这一点

https://github.com/clojure/tools.logging/blob/tools.logging-1.1.0/pom.xml#L31

(仅在测试范围内列出，不会在作为库使用时包含在类路径中)

以及maven元数据（再次提醒，仅列出的测试依赖项）

https://mvnrepository.com/artifact/org.clojure/tools.logging/1.1.0

Answer 3

Aaah，我明白了。仅作记录，我如何得出错误结论

我从maven仓库中删除了log4j

rm -rf ~/.m2/repository/org/apache/logging/log4j/

运行我的构建

$ clojure -X:depstar uberjar :jar target/foo.jar
Downloading: org/apache/logging/log4j/log4j-core/2.14.1/log4j-core-2.14.1.pom from central
Downloading: org/apache/logging/log4j/log4j/2.14.1/log4j-2.14.1.pom from central
Downloading: org/apache/logging/logging-parent/3/logging-parent-3.pom from central
Downloading: org/apache/logging/log4j/log4j-api/2.14.1/log4j-api-2.14.1.pom from central
Downloading: org/apache/logging/log4j/log4j-core/2.14.1/log4j-core-2.14.1.jar from central
Downloading: org/apache/logging/log4j/log4j-api/2.14.1/log4j-api-2.14.1.jar from central
...

然后我想知道为什么它会下载log4j？

然后我看到了Alex在clojure/tools.logging中的“再次更新log4j”提交
https://github.com/clojure/tools.logging/commit/8e8f899c00d79b03a7f5a3a83e52433d689feaf7
（没有注意到pom.xml），并且错过了它只存在于project.clj的dev配置文件中，因为它在文件上方，并且没有列出在GitHub的添加/删除列表中..

现在在我改正后，我看到它是我deps.edn中的构建依赖项

:aliases
 {:depstar
  {:replace-deps
   {com.github.seancorfield/depstar {:mvn/version "2.1.303"}}
   :ns-default hf.depstar
   :exec-args {}}}

它依赖于log4j。

感谢大家的帮助。

编辑：格式化