如果我使用 JAXB2 un/marshaler...和 Xalan 2.7.1 和 Xerces，有没有办法保护 Spring-WS 应用程序免受 XML 炸弹的攻击，尽管我不再知道谁依赖于什么了 :) .. ..
基本上我想在整个应用程序中禁用 DTD 作为模式语言，如果可以从应用程序上下文 xml 文件中完成，那就太好了！
我想另一种选择是扩展/实现一些类/接口，并更改一些方法，但我不知道在 Spring-WS 中首先调用解析器的位置......
【问题讨论】：
标签： java xml web-services spring-ws
Java 解析器通常具有针对实体扩展攻击之类的内置保护：
SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);
XMLReader xmlReader = spf.newSAXParser().getXMLReader();
InputSource inputSource = new InputSource(new FileReader("input.xml"));
SAXSource source = new SAXSource(xmlReader, inputSource);
更多信息
【讨论】：