xml - 在 JBoss EAP 5.0.1 下防止基于 Soap 的 Web 服务中的 XML 外部实体注入

Question

我们将 JBoss EAP 5.0.1 与 JBoss WS 3.0.4 一起使用，我们正在尝试寻找一种解决方案来防止 XML 外部实体注入。除了将其升级到更高版本之外，如何解决此问题？

Answer 1

为了防止暴露的 RESTEasy XML 端点中的实体扩展，请将其添加到 web.xml：

<context-param> <param-name>resteasy.document.expand.entity.references</param-name> <param-value>false</param-value> </context-param>

我在这里找到了这个，这个问题与 7.7 和 8.4 版本有关，但也可能适用于旧版本。