在transformerFactory中设置FEATURE_SECURE_PROCESSING是否也会更新其他安全功能？

Question

在jdk1.6中，当我设置时

transformerFactory.setFeature(XMLConstants.ACCESS_EXTERNAL_DTD, false)

我面临以下错误：

javax。xml。使改变TransformerConfiguration异常：无法设置功能'http://javax.xml.XMLConstants/property/accessExternalDTD'在此TransformerFactory上。位于组织。阿帕奇。泽兰。加工机TransformerFactoryImpl。setFeature（TransformerFactoryImpl.java:418）

正如我在这里所发现的：如何预防xalan。具有META-INF\services\javax的jar。xml。使改变TransformerFactory是否将接管JDK 1.6内置的Xalan实现？我无法进行此处建议的更改，因为我的管理员会审查其他API冲突。

根据此链接：http://xml.apache.org/xalan-j/features.html#domsource您可以使用TransformerFactory。setFeature（String，boolean）方法设置特征值。XalanJava只支持设置XMLConstants。FEATURE\u SECURE\u处理功能。对于所有其他功能，TransformerFactory公开其值，但不能更改其状态。

因此，似乎只有使用TransormerFactory的xalan实现，我们才能设置此功能。

transformerFactory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

最后，我的问题是：如果我们设置了功能：

transformerFactory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

然后是另一个功能（XMLContain.ACCESS_EXTERNAL_DTD）自动设置为false。
我从我设置的日志中得到上述功能为“false”。但我想确定access ExternalDTD功能是否默认设置为false，或者安全处理功能是否设置为true。

Answer 1

从源代码看，其他功能在XMLConstants时不会更新。FEATURE\u SECURE\u PROCESSING更新：

  public void setFeature(String name, boolean value)
  throws TransformerConfigurationException {

// feature name cannot be null
if (name == null) {
    throw new NullPointerException(
              XSLMessages.createMessage(
                  XSLTErrorResources.ER_SET_FEATURE_NULL_NAME, null));    
}

// secure processing?
if (name.equals(XMLConstants.FEATURE_SECURE_PROCESSING)) {
    m_isSecureProcessing = value;           
}
// This implementation does not support the setting of a feature other than
// the secure processing feature.
else
{
  throw new TransformerConfigurationException(
      XSLMessages.createMessage(
        XSLTErrorResources.ER_UNSUPPORTED_FEATURE, 
        new Object[] {name}));
}
}

看来我需要找到另一种方法来设置这个feaure常量。ACCESS\u EXTERNAL\u DTD：(

Answer 2

在Java8是的。如果我们设置

TransformerFactory factory = TransformerFactory.newInstance();
factory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);

然后属性ACCESS_EXTERNAL_DTD、ACCESS_EXTERNAL_STYLESHEET设置为"，就像owasp指南建议的那样。

我们可以通过以下方式进行验证：

Object hasExternalDtd=factory.getAttribute(XMLConstants.ACCESS_EXTERNAL_DTD);
Object hasExternalStyle=factory.getAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET);

设置FEATURE\u SECURE\u PROCESSING功能后。

如果不为这两个属性设置默认值，则默认值为“全部”。