java如何防止JAXB注入XML实体
我指的是这个链接
但是仍然kiwan工具在xif.createXMLStreamReader(soapHeader.getSource())
行中显示了非常高的漏洞,所以如果有人知道,请帮助我
我的代码如下所示:
SoapHeader soapHeader = ((SoapMessage) message).getSoapHeader();
XMLInputFactory xif = XMLInputFactory.newFactory();
xif.setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES,false);
xif.setProperty(XMLInputFactory.SUPPORT_DTD, false);
XMLStreamReader soapHeaderXsr = xif.createXMLStreamReader(soapHeader.getSource());
unmarshaller.unmarshal(soapHeaderXsr);
谢谢
# 1 楼答案
我通过添加额外的XMLInputFactory属性解决了这个问题,这些属性是:-
防止XXE的最安全方法始终是完全禁用DTD(外部实体)
将DTD属性设置为false以获取更多信息,请参阅此link
现在解决我的代码漏洞
多谢各位