java - IllegalArgumentException：在为“XML 解析器不应易受 XXE 攻击”实施 sonarqube 解决方案时不支持

Question

我的 java 项目中有这个 sonarqube 问题：Disable access to external entity in XML parsing。我已经实现了这样的兼容解决方案：

TransformerFactory transformerFactory = TransformerFactory.newInstance();
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");

但是现在当我调试代码时，我遇到了这个异常：

java.lang.IllegalArgumentException: Not supported: http://javax.xml.XMLConstants/property/accessExternalDTD

我究竟做错了什么？

Answer 1

您的应用程序中的 Transformer Factory 的实现可能不支持属性 XMLConstants.ACCESS_EXTERNAL_DTD 和 XMLConstants.ACCESS_EXTERNAL_STYLESHEET。

您可以尝试以这种方式创建 Transformer Factory 的实例：

TransformerFactory transformerFactory = new com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl();
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");

而不是您的实际代码：

TransformerFactory transformerFactory = TransformerFactory.newInstance();
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");