如何用JAXB修复这个在修复XXE漏洞时出现的Unmarshal异常？

Question

我们应该处理的XML消息的格式如下：

<?xml version="1.0" encoding="UTF-8"?>
<ns0:MessageType xmlns:ns0="http://www.path.to/some/schema.xsd">
    <ns0:NonRelevantBody>
        ....
    </ns0:NonRelevantBody>
</ns0:MessageType>

收到的例外：

javax。xml。绑定解组异常：意外元素（uri:，本地：“ns0:MessageType”）。预期的元素是

上述异常发生在com中。xmlprocessor。MessageParser类。上述课程中的代码过去是这样的（并且已经工作了很长时间）：

StringReader stringReader = new StringReader(xmlMessageAsString);

JAXBContext context = new JAXBContext.newInstance(MessageObjectFactory.class);
Unmarshaller unmarshalr = context.createUnmarshaller();
this.messageTypeContent = (MessageTypeContent) unmarshalr.unmarshal(stringReader);

事实证明，这会给你带来XXE的坏情况。所以我们尝试了许多非常相似的东西DocumentBuilder、SAXParser等来禁用外部实体、Doctype声明等。所有这些都给了我们上述同样的例外。不管怎样，下面是SAXParser的变化：

StringReader stringReader = new StringReader(xmlMessageAsString);

SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setFeature("http://xml.org/sax/features/external-general-entities", false);
spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
spf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);

Source xmlSource = new SAXSource(spf.newSAXParser().getXMLReader(), new InputSource(stringReader));

JAXBContext context = new JAXBContext.newInstance(MessageObjectFactory.class);
Unmarshaller unmarshalr = context.createUnmarshaller();
this.messageTypeContent = (MessageTypeContent) unmarshalr.unmarshal(xmlSource);

com的代码。xmlprocessor。MessageTypeContent类是不变的：

@XmlAccessorType(XmlAccessType.FIELD)
@XmlType(name = "", propOrder = {
    "messageType",
    "messageApprovalType"
})
@XmlRootElement(name = "MessageType")
public class MessageTypeContent {
    // Likely irrelevant unless you say so.
}

我尝试了很多方法，包括将命名空间="ns0"或命名空间="http://www.path.to/some/schema.xsd"添加到@XmlRootElement注释中，它会导致运行时相同异常的类似版本。

请注意代码中没有语法错误。我的任何想法都是在把它变成一个问题的过程中产生的。我完全有可能是一个错过了一些外在基本知识的吉特。如果你能指出这一点，我将不胜感激。谢谢

Answer 1

使sax解析器命名空间感知修复了该问题：

spf.setNamespaceAware(true);

最后，无事生非。