Log4j2 维护者发声：没有工资，还要挨骂！！（我真是醉了！）

点击关注公众号，Java干货及时送达

文 | 罗奇奇
出品 | OSC开源社区（ID：oschina2013）

最新进展：玩大了！Log4j 2.x 再爆雷。。。

基于 Java 的日志记录工具 Apache Log4j2 近日出现了一个高危漏洞，攻击者可以利用其 JNDI 注入漏洞远程执行代码，此漏洞牵涉面非常广，以至于国内外的个人或公司用户都对此高度关注，而 Log4j2 开发组在漏洞曝光后及时发布了 Apache Log4j 2.16.0 维护版本，默认禁用 JNDI，使此漏洞得到控制。

最近发现 Log4j2 的维护者之一 @Volkan Yazıcı 在推特上吐槽：

Log4j2 维护者只有几个人，他们无偿、自愿地工作，没有人发工资，也没人提交代码修复问题，出了问题还要被一堆人在仓库里留言痛骂。

这样的情况已经持续了相当一段时间，不过现在已经有人在思考这个问题，并给出了一些权衡的建议。上周六，谷歌密码学家和 Go 语言安全负责人 Filippo Valsorda 在个人博客呼吁：开源项目维护者应当和那些使用软件的公司进行更专业的交流，以获得付费支持，使开源更具可持续性。

点击关注公众号，Java干货及时送达

题外话：

Log4j2 的开发者和维护者 Ralph Goers 在 GitHub 上仅有 3 名赞助者。

我是 Apache 软件基金会的成员，也是 Apache Commons、Apache Flume、Apache Logging Services 和 Apache Maven 的 PMC 成员。我创建了 Apache Log4j 2的初始版本，并继续将我的大部分精力放在提供支持和改进上，以使 Apache Log4j 2 成为目前从事软件架构师全职工作的 Java 开发人员的最佳日志记录框架。我在业余时间从事 Log4j 和其他开源项目，我通常从事我最感兴趣的那些问题。我一直梦想着全职从事开源工作，希望您的支持能实现这一梦想。

关注Java技术栈看更多干货

获取 Spring Boot 实战笔记！