org/slf4j/Logger.info（Ljava/lang/String;ljava/lang/对象;V 可用于将 CRLF 字符包含在日志消息中

这真是令人讨厌的警告。问题是希望你写出愚蠢的代码，比如：sonarqubesonarqube

public ResponseEntity<SomeDto> someMethod(@RequestBody User user) {
    log.info(
            "user received as --> {}", 
            String.valueOf(user)
                    .replace("\r", "\\r")
                    .replace("\n", "\\n")
    );
}

这显然是不可接受的。

如果安全团队确实认为日志中的 CR/LF 字符是真正的安全问题，则唯一正确的方法是：

• 禁用相应的检查sonarqube

• 使用以下方法之一正确设置日志记录子系统：

  1. 利用 in - 例如，将所有日志写入 JSON：output encodinglogback

     • https://www.baeldung.com/java-log-json-output
     • 如何使用Logback登录JSON？

  2. 使用 security-logging-logback 库，这里是相应配置的示例logback