log4j.xml 是 Log4j 1.x 的 XML 配置文件，需置于 classpath 根目录，用于定义日志级别、Appender 和 Layout；它已被 Log4j 2.x 弃用，且存在严重安全漏洞，存量系统应尽快升级。
log4j.xml 是 Log4j 1.x 版本使用的 XML 格式配置文件，用于声明式定义日志输出级别、Appender（输出目标）、Layout（格式）等行为。Log4j 2.x 已弃用该文件名和格式，改用 log4j2.xml；若项目中看到 log4j.xml，基本可判定使用的是 Log4j 1.2.x —— 这个版本早已停止维护，且存在严重安全风险（如 CVE-2017-5645、CVE-2021-4104），**不建议新项目使用，存量系统应尽快升级或迁移**。
log4j.xml 的加载机制与位置要求
Log4j 1.x 在启动时会按固定顺序查找配置文件：log4j.xml 优先于 log4j.properties。它必须位于类路径（classpath）根目录下（如 src/main/resources/ 或 WEB-INF/classes/），否则 Log4j 会回退到默认控制台输出，且不报错 —— 这是常见静默失效原因。
- 文件名必须严格为
log4j.xml，大小写敏感（Windows 下可能不报错，Linux 下常失败） - 不能放在子目录（如
config/log4j.xml），除非手动调用DOMConfigurator.configure("config/log4j.xml") - 若同时存在
log4j.xml和log4j.properties，前者生效，后者被忽略
一个最小可用的 log4j.xml 示例
以下配置将日志输出到控制台，并设置根日志器级别为 INFO：
<?xml version="1.0" encoding="UTF-8"?><configuration xmlns:log4j="http://jakarta.apache.org/log4j/"><p><appender name="console" class="org.apache.log4j.ConsoleAppender"><layout class="org.apache.log4j.PatternLayout"><param name="ConversionPattern" value="%d{yyyy-MM-dd HH:mm:ss} [%t] %-5p %c{1} - %m%n"></layout></appender></p>
<p><root><priority value="info"></priority><appender-ref ref="console"></appender-ref></root></p>
<p></p><div class="aritcle_card flexRow artxards">
<div class="artcardd flexRow">
<a class="aritcle_card_img" rel="nofollow" href="/xiazai/skill10918" title="Linux Security Scanner"><img
src="https://img.php.cn/upload/skill/001/246/273/6adaf20cf0281539.jpg" alt="Linux Security Scanner" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a>
<div class="aritcle_card_info flexColumn">
<a rel="nofollow" href="/xiazai/skill10918" title="Linux Security Scanner" class="overflowclass">Linux Security Scanner</a>
<p class="overflowclass">Linux 安全审计工具，检查 SSH 配置、开放/监听端口、防火墙规则（ufw/iptables/nftables）、失败登录尝试、sudoers 权限...</p>
</div>
<a rel="nofollow" href="/xiazai/skill10918" title="Linux Security Scanner" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span>
</a>
</div>
</div></configuration>
注意点：
-
DOCTYPE声明中的log4j.dtd不需要本地存在，Log4j 会从 jar 包内加载；若网络受限或校验失败，可删掉整行DOCTYPE（Log4j 1.2.17+ 支持无 DTD 解析） -
class属性值必须是完整类名，拼写错误（如少个o写成ConsolAppender）会导致启动时报ClassNotFoundException，但日志可能被吞掉 -
ConversionPattern中的%c{1}表示只打印 logger 名的最末一段（如com.example.Service→Service），%c则全量输出
log4j.xml 中常见的 Appender 配置差异
不同 Appender 类决定日志落地方式，参数含义差异大：
-
FileAppender：需显式设File参数（如/var/log/app.log），Append设为true才追加写入，默认false每次覆盖 -
DailyRollingFileAppender：支持按天滚动，关键参数是DatePattern（如'.'yyyy-MM-dd），但不支持压缩归档 —— 需配合外部脚本清理 -
RollingFileAppender：靠MaxFileSize+MaxBackupIndex控制单文件大小和备份数，比 Daily 更可控，但不按时间切分 -
SocketAppender：发日志到远程 log4j-server，需确保服务端已启动且防火墙放行端口，否则应用启动会卡住（默认阻塞连接）
所有 Appender 若未关联到某个 logger（包括 root），就完全不会生效 —— 这是配置后看不到日志的最常见疏漏。
Log4j 1.x 的 XML 配置没有命名空间校验、无类型提示、错误反馈弱，加上 DTD 加载不稳定，实际维护成本远高于 log4j.properties。如果只是想快速启用日志，直接写 properties 文件更可靠；如果必须用 XML，务必用 IDE 的 XML Schema 支持（如绑定 log4j.dtd）来避免标签闭合或属性名拼写错误。
