类路径含过时XML处理器致XXE防护启用失败，求解决方案

这个问题核心是项目类路径里混入了过时的XML处理器（比如旧版Xerces、Xalan），导致TransformerFactory不支持XXE防护所需的属性。以下是安全有效的解决办法：

• 排查并清理过时XML依赖
  用依赖分析工具找出项目里的旧版XML库：

  • Maven项目执行 mvn dependency:tree
  • Gradle项目执行 ./gradlew dependencies
    找到xercesImpl、xalan这类旧依赖后，在父依赖中直接排除它们。比如Maven中配置：

  <dependency>
      <groupId>包含旧XML库的依赖组</groupId>
      <artifactId>依赖名</artifactId>
      <exclusions>
          <exclusion>
              <groupId>xerces</groupId>
              <artifactId>xercesImpl</artifactId>
          </exclusion>
          <exclusion>
              <groupId>xalan</groupId>
              <artifactId>xalan</artifactId>
          </exclusion>
      </exclusions>
  </dependency>
  

• 引入兼容的新版XML处理器
  若清理后仍有问题，直接引入新版XML处理库。比如Maven添加：

  <dependency>
      <groupId>xerces</groupId>
      <artifactId>xercesImpl</artifactId>
      <version>2.12.2</version> <!-- 选择稳定的高版本即可 -->
  </dependency>
  

• 强制使用JDK自带的TransformerFactory
  要是第三方库仍优先加载旧实现，直接指定使用JDK自带版本：

  • 代码内设置：

    System.setProperty("javax.xml.transform.TransformerFactory", "com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl");
    

  • 或在应用启动参数中添加：

    -Djavax.xml.transform.TransformerFactory=com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl
    

• 验证修复结果
  重启应用，确认XXE防护失败的报错消失，同时检查XML相关功能正常运行，确保防护机制生效。

内容的提问来源于stack exchange，提问作者kaveri marathe