防止XXE强化问题的TrasnformerFactory

Question

我需要修复XXE问题。我在代码中使用transformerfactory。在下面找到修复程序，但我在代码中看不到ACCESS\u EXTERNAL\u DTD属性。我得到的原因是以下代码将适用于Java7，但我使用的是Java 6。能否有人建议其他修复方法来保护Java TransformerFactory免受XXE攻击，请执行以下操作：

TransformerFactory tf = TransformerFactory.newInstance();
tf.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
tf.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");

Answer 1

我也遇到过同样的情况，不更新Java版本很难解决。

以下是能够以相同的结果通过fortify扫描的代码更改。

使用以下代码代替TransformerFactory：

   DOMImplementationLS domImplementation = (DOMImplementationLS) doc.getImplementation();
   LSSerializer lsSerializer = domImplementation.createLSSerializer();
   LSOutput lsOutput = domImplementation.createLSOutput( );


   lsOutput.setEncoding("UTF-8");
   StringWriter stringWriter=new StringWriter();
   lsOutput.setCharacterStream(stringWriter);
   lsSerializer.write(doc,lsOutput);
   return stringWriter.toString();

请查看是否有比这段代码更优雅的方式将XML文档转换为Java中的字符串，以供参考？。

而且