Java 1.6使用XMLConstants.FEATURE_SECURE_PROCESSING抛出异常求助

问题原因 #

Java 1.6中XMLConstants.FEATURE_SECURE_PROCESSING对应的URLhttp://javax.xml.XMLConstants/feature/secure-processing并非所有XML解析器都支持，尤其是搭配旧版本解析器或存在依赖冲突时，会触发参数非法异常。

解决方案 #

• 切换为解析器原生安全特性
  若使用Apache Xerces解析器（Java 1.6常用默认解析器之一），可改用Xerces自身的安全处理特性：

  factory.setFeature("http://apache.org/xml/features/secure-processing", true);
  

  该特性在Xerces 2.8及以上版本中支持，完全适配Java 1.6环境。

• 排查Maven依赖冲突
  检查项目Maven依赖，确保未引入Java 7+版本的xml-apis或xercesImpl。若存在高版本依赖，通过<exclusions>排除，强制使用Java 1.6自带的XML API：

  <dependency>
    <!-- 示例：排除第三方依赖中的高版本xml-apis -->
    <groupId>目标依赖组</groupId>
    <artifactId>目标依赖包</artifactId>
    <exclusions>
      <exclusion>
        <groupId>xml-apis</groupId>
        <artifactId>xml-apis</artifactId>
      </exclusion>
    </exclusions>
  </dependency>
  

• 显式指定兼容Java 1.6的解析器版本
  在Maven中引入适配Java 1.6的Xerces版本（如2.11.0），规避环境自带解析器的兼容性问题：

  <dependency>
    <groupId>xerces</groupId>
    <artifactId>xercesImpl</artifactId>
    <version>2.11.0</version>
  </dependency>
  

补充说明 #

Java 1.6的XML API对安全处理支持有限，除启用安全特性外，还需额外注意：

• 禁用外部实体引用（DTD/实体），防范XXE攻击
• 限制解析器的实体扩展深度和大小，避免资源耗尽

内容的提问来源于stack exchange，提问作者tim