javax SchemaFactory添加外部实体限制属性遇未识别错误，如何解决

属性未被识别的原因 #

• JDK版本不兼容：XMLConstants.ACCESS_EXTERNAL_DTD和XMLConstants.ACCESS_EXTERNAL_SCHEMA是Java 8u191及以上版本、Java 9+才纳入标准API的属性。如果运行环境的JDK版本低于这个范围，内置的SchemaFactory实现无法识别这些属性。
• SchemaFactory实现不支持：SchemaFactory是SPI接口，不同的XML解析库（如旧版Apache Xerces、Oracle XDK）可能不支持标准属性名，而是使用自身的专有属性。

修复方案 #

方案1：升级JDK版本 #

将项目运行环境升级到Java 8u191或更高版本，或者直接切换到Java 9+。升级后，内置的SchemaFactory会原生支持这两个安全属性，你的原有代码可以正常运行。

方案2：使用第三方XML库的专有属性 #

如果使用的是Apache Xerces等第三方XML解析库，替换为对应的专有属性：

import javax.xml.validation.SchemaFactory;

public class MinimalExample {

    public static void main(String[] args) {
        SchemaFactory factory = SchemaFactory.newInstance("http://www.w3.org/2001/XMLSchema");
        // Xerces专有属性，禁用外部DTD和Schema访问
        factory.setProperty("http://apache.org/xml/properties/schema/external-access/external-dtd", "");
        factory.setProperty("http://apache.org/xml/properties/schema/external-access/external-schema", "");
    }
}

方案3：通过系统属性全局配置 #

在JVM启动参数中添加：

-Djavax.xml.accessExternalDTD=
-Djavax.xml.accessExternalSchema=

或者在代码启动时提前设置系统属性（需在创建SchemaFactory之前执行）：

import javax.xml.validation.SchemaFactory;
import javax.xml.XMLConstants;

public class MinimalExample {

    public static void main(String[] args) {
        // 全局禁用外部实体访问
        System.setProperty("javax.xml.accessExternalDTD", "");
        System.setProperty("javax.xml.accessExternalSchema", "");
        
        SchemaFactory factory = SchemaFactory.newInstance(XMLConstants.W3C_XML_SCHEMA_NS_URI);
        // 无需再调用setProperty，系统属性会自动生效
    }
}

方案4：启用安全处理特性替代 #

启用FEATURE_SECURE_PROCESSING特性，这是跨版本兼容性更好的安全配置，能自动限制外部实体访问：

import javax.xml.XMLConstants;
import javax.xml.validation.SchemaFactory;

public class MinimalExample {

    public static void main(String[] args) throws Exception {
        SchemaFactory factory = SchemaFactory.newInstance(XMLConstants.W3C_XML_SCHEMA_NS_URI);
        // 启用安全处理特性，自动禁用危险的外部实体访问
        factory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);
        // 额外禁用DOCTYPE声明（可选，进一步增强安全性）
        factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
    }
}

注意事项 #

• FEATURE_SECURE_PROCESSING是Java 6及以上版本就支持的特性，兼容性最好，推荐优先使用。
• 如果项目依赖第三方XML解析库，确保库版本是最新的，新版库通常会支持标准安全属性。

内容的提问来源于stack exchange，提问作者0xdeadbeef