java - JDK 对实体扩展的限制

Question

我在转换大型 XML 文档时收到此错误消息:

JAXP00010001: The parser has encountered more than "64000" entity expansions in this document; this is the limit imposed by the JDK.

用 Google 搜索并了解了 limits .然后学会了如何implement 64K 默认值以外的限制:在可能的情况下，我需要使用以下条目创建一个 ${java.home}/lib/jaxp.properties 文件¹:

jdk.xml.entityExpansionLimit=256000

这行得通，并在此处针对遇到相同错误的其他人进行了描述。

问题:增加扩展限制是否会显着增加安全风险？

我猜这个限制更多是为了服务器。我的工作站只能上网。

脚注 1:我需要在 /usr/lib/jvm/java-1.7.0-openjdk-amd64/jre/lib 中创建一个新的 jaxp.properties

Answer 1

它增加了拒绝服务的风险。即恶意 XML 专为耗尽您的内存而设计，突出的例子是 billion laughs attack .