JAXB解组：意外元素

Question

背景：

我使用JAXB将XML解组为Java对象。最初，我只是使用JAXB来执行解组。然后对代码进行静态分析，并提出了XML外部实体注入的高关键性问题。经过一点研究，我发现了一个建议(https://www.owasp.org/index.php/XML_External_Entity_（XXE）_Prevention_Cheat_Sheet#JAXB_Unmarshaller）使用配置为防止解析外部实体的解析器。提供了一个操作示例：

//Disable XXE
SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setFeature("http://xml.org/sax/features/external-general-entities", false);
spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
spf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);

//Do unmarshall operation
Source xmlSource = new SAXSource(spf.newSAXParser().getXMLReader(), new InputSource(new StringReader(xml)));
JAXBContext jc = JAXBContext.newInstance(Object.class);
Unmarshaller um = jc.createUnmarshaller();
um.unmarshal(xmlSource);

我并没有完全按照图中所示那样做，但我相信我实际上也做了同样的事情：

XMLReader reader = getXMLReader();

if (reader == null) {
  logger.warn("Unable to create XML reader");
  return;
}

JAXBContext context = JAXBContext.newInstance(messageClass);
Unmarshaller unmarshaller = context.createUnmarshaller();

for (File file : files) {
  try {
    InputSource source = new InputSource(new FileReader(file));
    Source xmlSource = new SAXSource(reader, source);
    JAXBElement<? extends BaseType> object =
        (JAXBElement<? extends BaseType>) unmarshaller.unmarshal(xmlSource);
    messages.add(object.getValue());
  } catch (FileNotFoundException e) {
    logger.error("Exception", e);
  }
}

...

private XMLReader getXMLReader() {
    SAXParserFactory factory = SAXParserFactory.newInstance();

    try {
      factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
      factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
      factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
    } catch (SAXNotRecognizedException | SAXNotSupportedException
        | ParserConfigurationException e) {
      logger.error("Exception", e);
    }

    XMLReader reader = null;

    try {
      reader = factory.newSAXParser().getXMLReader();
    } catch (SAXException | ParserConfigurationException e) {
      logger.error("Exception", e);
    }

    return reader;
}

问题：

在实现更正后，当程序尝试读取XML时，我现在收到一个解组异常：

javax.xml.bind.UnmarshalException: unexpected element (uri:"", local:"ns1:TypeXYZ"). Expected elements are <{protected namespace URI}TypeABC>,...<{protected namespace URI}TypeXYZ>,...

在上述修复之前，我只是使用JAXB解组，它能够正确解析提供的XML，没有问题。

我假设SAX解析器希望XML提供缺失的额外信息，或者需要将其配置为忽略它所抱怨的任何信息。我尝试了其他一些“功能”(http://xml.org/sax/features/namespace-prefixes=true和http://xml.org/sax/features/validation=false)，但这并没有解决问题。

我无法控制定义XML类型的XML模式，也无法控制如何生成相应的Java类。

如果有任何信息可以帮助我了解正在发生的事情，并帮助我解决这个问题，我们将不胜感激。

Answer 1

经过一点实验，我能够通过设置以下功能来解决错误：

factory.setFeature("http://xml.org/sax/features/validation", false);
factory.setFeature("http://xml.org/sax/features/namespaces", true);
factory.setFeature("http://xml.org/sax/features/namespace-prefixes", true);