java - 安全地解析 XML 文档

Question

如何安全地解析 XML 文档，使其不允许外部实体作为传入 XML 文档的一部分？我正在使用 DOM 解析器 -

Document test = DocumentBuilderFactory.newInstance().newDocumentBuilder().parse(new InputSource(byteArrayInputStream))

Answer 1

您可以通过设置 FEATURE_SECURE_PROCESSING; 来请求安全处理这是否禁止外部实体取决于 DocumentBuilderFactory 的提供者，但它是一个可能的候选对象。

DocumentBuilderFactory f = DocumentBuilderFactory.newInstance();
f.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);
Document test = f.newDocumentBuilder.parse(...);