XSLT处理中Java函数白名单设置及安全性问题咨询

1. 关闭FEATURE_SECURE_PROCESSING是否安全？ #

当你的样式表完全由自己开发维护、且没有任何不可信的外部用户输入（包括XML数据、样式表修改请求等）时，关闭这个安全特性的风险极低。

这个特性的核心作用是防止不可信的样式表执行危险操作——比如调用恶意Java函数、读取/写入本地文件、执行系统命令等。如果所有涉及的XML数据和XSLT代码都是完全可控、可信的，不存在第三方注入恶意逻辑的可能，关闭它不会引入明显的安全问题。但要注意，如果未来业务有变动，引入了外部输入的场景，这个设置就会变成潜在的安全风险点。

2. 能否创建允许调用的函数白名单？ #

可以实现，不同的XSLT处理器有对应的配置方式：

• 若使用JDK默认的Xalan处理器：可以开启Xalan的安全管理器特性（http://xml.apache.org/xalan/features/security-manager），然后自定义XalanSecurityManager类，在其中指定允许调用的Java类和方法，拒绝其他未授权的调用。
• 若使用Saxon处理器：可以通过Configuration对象注册自定义的ExtensionFunctionLibrary，只将你需要用到的自定义函数加入库中，这样处理器只会执行白名单内的函数，自动拒绝其他未注册的扩展调用。

3. 自行定义样式表且无用户输入，是否需要设置白名单？ #

从当前场景看不是必须的，但从安全冗余和长期维护的角度，建议设置。

虽然现在没有外部输入，但未来代码迭代或需求变更时，可能会引入不可信的样式表、XML数据，或者不小心调用了危险的Java方法。提前设置白名单可以把风险扼杀在萌芽状态，而且如果你的自定义函数范围很小，实现白名单的成本极低，能有效缩小风险暴露面，让代码更健壮。

内容的提问来源于stack exchange，提问作者Hellma