java - 为什么 XML 最大实体大小受到错误修复的限制

Question

在 Java 8 Update 71 (8u71) 中，为 XML 最大实体大小添加了默认限制作为错误修复。但为什么这个限制是一个错误，问题是什么，如果我们要更改这个限制，允许的最大大小是多少。

Answer 1

如果你看Release Notes ，您会找到对 The Java Tutorials, Processing Limits 的引用这解释了它:

XML processing can sometimes be a memory intensive operation. Applications, especially those that accept XML, XSD and XSL from untrusted sources, should take steps to guard against excessive memory consumption by using the JAXP processing limits provided in the JDK.

如果没有限制，恶意 XML 可能会使您的应用程序崩溃。

根据The Java Tutorials, Processing Limit Definitions ，totalEntitySizeLimit 为 50,000,000，maxParameterEntitySizeLimit 为 1,000,000。

请记住，这些是实体，目前很少使用，因此它并不会真正影响大多数人。