如何使XSL Transformer对XXE等恶意攻击安全？

Question

对于xsl转换，我使用这个接口：javax.xml.transform.转换器实现是saxon.jaxp.TransformerImpl

我需要使这个转换器对XML外部实体（XXE）攻击安全。现在，如果有外部实体，它就会被调用，并可能被用于拒绝服务攻击。

有没有办法配置变压器？我知道如何使用saxon解析器，但我只有Transformer类，不知道如何从中提取解析器。

Answer 1

首先（很抱歉，这有点愤世嫉俗），您需要决定是在试图防范攻击，还是在试图通过某些扫描工具执行的安全检查。这不是一回事。

假设您真的试图防止攻击，那么首先要确定样式表作者是否值得信任。

如果您运行的是不受信任的样式表，那么您确实需要非常小心；特别是，不要痴迷于XML实体攻击，因为不受信任的样式表还有很多其他方式可以访问您机器上的数据或进入无限循环。

如果您运行的是受信任的样式表（但针对的是不受信任的XML文档），那么事情就会简单得多：最简单的方法是通过提供URIResolver自己控制所有XML解析。然后，您只需要担心如何将解析器配置为安全的，而不是试图通过XSLT引擎间接控制它。