Java SAX 解析器，如何完全防止字符引用？ (DoS 攻击)

Question

需要验证传入请求的 XML 文件。一项要求是完全阻止字符引用，因为可能存在 DoS 攻击。如果我像下面这样配置 SAXParserFactory:

SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

那么解析器仍然解析 100.000 个实体扩展。

The parser has encountered more than "100.000" entity expansions in this document; this is the limit imposed by the application.

外部引用的预防是通过 EntityResolver 完成的，效果很好。但如何防止字符引用呢？

Answer 1

字符引用不会导致拒绝服务攻击，因此没有理由阻止它们。