SOFABoot 源码解析活动是由 SOFAStack 团队主办的开源活动，我们希望打造一个人人皆可参与，基于 GitHub 协作的积极透明的开源活动。

本次活动旨在增强大家对 SOFABoot 的了解与认知，促进开源社区的交流，让大家更好的了解、学习和使用开源项目，是大家学习和使用 SOFABoot，与 SOFABoot 的核心开发者直接交流的一个良好契机。

本次活动所产出的文章将首先发表在 SOFABoot 项目主页上，同时也将会进行线上全渠道的推广，经整理后的部分内容会作为 SOFAStack 官方博客中，并会在全渠道进行发布。

活动流程

• 参与者登陆

Introduce

It has been more than three years since SOFARPC was open-sourced on April 10, 2018. RPC-related documents are mainly updated in June 2019. At that time, the document was relatively classic, and the core functions of RPC were introduced relatively clearly. However, with the iterative update of functions and the update of relate

大佬，你好，我是@abbykimi，我IDE运行您这个项目的时候，提示有几个漏洞，项目调用了org.apache.logging.log4j:log4j-core等172个开源组件，存在29个安全漏洞，建议你升级下。

漏洞标题：Apache Log4j2 < 2.15.0远程代码执行漏洞
漏洞编号：CVE-2021-44228
漏洞描述：
Apache log4j是java中常用的日志记录组件，攻击者发现在小于2.15.0的版本中存在远程代码执行漏洞。
漏洞原因：
由于log4j2默认支持JNDI在内的Lookup查找机制，当日志内容中包含${foo.bar}样式的内容时，会查找相应的值进行替换。因此当用户请求中的内容通过log4j作为日志内容记录时，攻击者可能通过恶意构造的内容，触发log4j的lookup方法，进而执行恶意代码。

影响范围：[2.0-beta9, 2.3.1)

Sync from here：

spring-projects/spring-boot#2895

非常感谢大家对 SOFAStack 开源的关注和支持，这是我们前进最大的动力。

收集目的

• 了解 SOFAStack 的使用场景以便更好的规划技术路线
• 聆听社区的不同声音，让 SOFAStack 变得更好
• 吸引更多的开源爱好者参与贡献，共同打造 SOFAStack

收集方式

请按如下参考格式回复本 Issue 进行登记：

* 公司/组织名称：蚂蚁金服
* 地点：中国杭州
* 网址：http://www.antfin.com
* 使用组件及场景：全套金融级分布式中间件
* 联系方式：zhanggeng.zg@antfin.com

展示

我们会定期同步信息至「Awesome SOFA」的用户列表中。

服务

非常感谢大家对 SOFAStack 开源的关注和支持，这是我们前进最大的动力。

收集目的

• 了解 SOFAStack 的使用场景以便更好的规划技术路线
• 聆听社区的不同声音，让 SOFAStack 变得更好
• 吸引更多的开源爱好者参与贡献，共同打造 SOFAStack

收集方式

方式一：
请按如下参考格式回复本 Issue 进行登记：

* 公司/组织名称：蚂蚁金服
* 地点：中国杭州
* 网址：http://www.antfin.com
* 使用组件及场景：全套金融级分布式中间件
* 联系方式：zhanggeng.zg@antfin.com

方式二：
您可以通过我们的「使用调研问卷」进行反馈。

展示

Hessian 是一种二进制序列化协议。

由于 Hessian 自身实现关系，通过构造特定的序列化流，经过反序列化后可能会造成任意代码执行，存在安全风险，建议用户配置黑名单或白名单的方式来解决该问题。

本项目内置的黑名单来自内部实践和外部贡献，仅供参考，不做主动更新。如需要更严格的校验，请使用白名单功能。

Hessian is a binary serialization protocol.

Because of the implement of Hessian, by constructing a specific serialization stream, it may cause arbitrary code execution when doing deserialization. It is recommended that users configure