咋样才能让Java不被XXE袭击搞死？

先来看，你得了解XXE袭击是啥。简洁就是袭击者通过XML文件搞些较差事， KTV你。 比如读取你服务器上的敏感文件，甚至落实一些恶意代码。

我满足了。 避免依赖老版本JDK或未加固的第三方XML工具：

处理带DOCTYPE的XML时咋办？

好吧好吧... 如果业务必须要处理带DOCTYPE的XML， 不要开放全部实体，而是采用白名单方式预定义允许的实体，并沉重写EntityResolver

// 示例代码
import org.xml.sax.EntityResolver;
import org.xml.sax.InputSource;
import org.xml.sax.SAXException;
public class SafeEntityResolver implements EntityResolver {
    @Override
    public InputSource resolveEntity throws SAXException, IOException {
        // 只允许特定的实体
        if ) {
            return new InputSource);
        } else {
            throw new SAXException;
        }
    }
}

Java中避免XXE袭击，核心是禁用外部实体解析和DTD处理。默认的XML解析器若未显式配置， 容我插一句... 有可能启用外部实体，引起敏感文件读取、SSRF甚至远程代码落实。

解析前加一层过滤

挺好。 解析前加一层过滤， 能显著减较低风险因素：

• 检查XML文件有没有包含DOCTYPE声明
• 检查有没有有外部实体引用

对全部XML解析器实例，必须要显式关闭http://xml.org/sax/features/external-general-ent 很棒。 ities和http://xml.org/sax/features/external-parameter-entities等关键特性：

// 示例代码
import javax.xml.parsers.DocumentBuilderFactory;
import javax.xml.parsers.ParserConfigurationException;
public class SafeDocumentBuilderFactory {
    public static DocumentBuilderFactory newInstance throws ParserConfigurationException {
        DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance;
        factory.setFeature;
        factory.setFeature;
        factory.setFeature;
        return factory;
    }
}

总体来说就这一些。关键不是“怎么解析XML”，而是“怎么确保它不会去碰不该碰的东西”。每种解析器都得单独配，不能只改一处就以为全可靠了。