SAXParserFactory容易受到XXE攻击吗？

Question

我们使用javax.xml.parsers.SAXParserFactory读取XML模板文件。如果我们正在读取的XML文件中包含XXE，是否可以关闭处理？

谢谢-戴夫

Answer 1

是的，默认情况下，它容易受到XXE攻击。

请咨询this cheat sheet以正确配置解析器：

总而言之，您将需要使用SAXParserFactory.setFeature（foo，bar）documentation

配置相关漏洞。