已为 PostgreSQL JDBC 驱动程序创建了安全公告。URL 连接字符串的 loggerFile 属性可能被滥用，在驱动程序加载的系统上创建任意文件。此外，连接字符串中的任何内容都将被记录并随后写入该文件。在不安全的系统中，有可能通过 Web 服务器执行此文件。
虽然我们不认为这是驱动程序本身的安全问题，但我们已决定在驱动程序的下一个版本中删除 loggerFile 和 loggerLevel 连接属性。删除这些属性并不会使将 JDBC URL 或连接属性暴露给攻击者变得安全，我们仍然建议应用程序不允许不受信任的用户指定任意连接属性。
我们删除它们是为了防止滥用，它们的功能可以委派给 java.util.logging。由于更改是在安全公告之后进行的，因此变更日志不是很有用。简而言之，loggerFile 和 loggerLevel 属性仍然存在，但不起任何作用。
PostgreSQL JDBC 团队感谢所有参与此版本的人！
JDBC 团队