如何修复Java XML工具类中的Sonar XSLT加载安全告警

核心原因 #

Sonar的这个告警是因为它无法自动识别你加载的XSLT资源是否可信——即便你开启了安全处理特性，它依然会默认假设输入存在风险。要解决问题，得从代码层面明确证明XSLT来源的可信性，同时强化安全配置。

具体解决方案 #

1. 强化TransformerFactory的安全约束 #

把所有可能的安全特性都明确配置，彻底锁死外部访问和恶意扩展：

TransformerFactory transformerFactory = TransformerFactory.newInstance();
// 启用核心安全处理
transformerFactory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);
// 禁止访问外部DTD和样式表
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET, "");
// 禁用DOCTYPE声明和外部实体
transformerFactory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
transformerFactory.setFeature("http://xml.org/sax/features/external-general-entities", false);
transformerFactory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
// 禁用XSLT扩展函数（如果你的XSLT不需要扩展）
transformerFactory.setFeature("http://javax.xml.XMLConstants/feature/secure-processing", true);

2. 添加可信XSLT的哈希校验 #

通过预计算XSLT文件的哈希值，在加载时校验资源是否被篡改，明确证明这是你预先审核过的可信文件：

// 加载类路径下的XSLT资源
try (InputStream xsltStream = XmlUtility.class.getResourceAsStream("/namespaceRemover.xslt")) {
    if (xsltStream == null) {
        throw new IllegalArgumentException("可信XSLT资源未找到");
    }
    // 计算资源SHA-256哈希
    MessageDigest digest = MessageDigest.getInstance("SHA-256");
    byte[] buffer = new byte[8192];
    int readBytes;
    while ((readBytes = xsltStream.read(buffer)) != -1) {
        digest.update(buffer, 0, readBytes);
    }
    byte[] resourceHash = digest.digest();
    
    // 替换为你预先计算好的namespaceRemover.xslt的SHA-256哈希字符串
    String trustedHash = "f47ac10b58cc25360b3109f3335eea6954a7434319a5b971757b470114119494";
    if (!Arrays.equals(resourceHash, Hex.decodeHex(trustedHash.toCharArray()))) {
        throw new SecurityException("可信XSLT资源已被篡改");
    }
    
    // 重置流到开头，用于后续加载
    xsltStream.reset();
    Source namespaceRemoverXslt = new StreamSource(xsltStream);
    var transformer = transformerFactory.newTransformer(namespaceRemoverXslt);
    
    // 后续业务逻辑处理
} catch (NoSuchAlgorithmException | IOException | DecoderException e) {
    throw new RuntimeException("验证可信XSLT资源失败", e);
}

注：哈希值可以通过sha256sum命令（Linux）或PowerShell的Get-FileHash命令预先计算。

3. 临时抑制Sonar告警（仅当代码校验已完善时使用） #

如果上述配置后Sonar依然告警，可以在代码行添加Sonar专属注释，明确说明该资源可信：

var transformer = transformerFactory.newTransformer(namespaceRemoverXslt); //NOSONAR - 加载类路径下预先审核的可信XSLT，已做哈希校验和安全配置

内容的提问来源于stack exchange，提问作者firstpostcommenter