java - SAXParserFactory 安全处理功能在 jboss 服务器中不起作用

Question

我正在运行下面的代码片段来启用安全处理功能，并且它在使用 tomcat 服务器的 REST API 中工作正常。但这个相同的代码片段无法使用 JBoss 服务器工作。

请建议任何解决方法/修复，因为我必须修复 XXE 注入(inject)。

String strXmlRequest ="<?xml version="1.0"?><!DOCTYPE test[ <!ENTITY demo SYSTEM "D:\\test.text">]>"
SAXParserFactory saxFactory = SAXParserFactory.newInstance();
saxFactory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

SAXParser saxParser = saxFactory.newSAXParser();
saxParser.parse(new InputSource(new StringReader(strXmlRequest)), handler );

Answer 1

你尝试过吗:

  saxFactory.setFeature("http://xml.org/sax/features/external-general-entities", false); 
  saxFactory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

正如 OWASP XXE Prevention sheet 所解释的