SonarQube XXE漏洞修复导致Spring Boot XML验证失败求助

问题根源 #

你的Process.v{xsdVersion}.xsd中引用了外部的xmldsig-core-schema.xsd（通过HTTP地址），当设置ACCESS_EXTERNAL_SCHEMA=""禁用外部Schema访问时，解析器无法加载这个依赖的外部资源导致报错；但放开限制又会触发SonarQube的XXE漏洞提示。

解决方案 #

核心思路是将外部依赖的Schema本地化，避免解析器访问外部HTTP资源，同时保持严格的安全配置。

步骤1：下载外部Schema到本地 #

将xmldsig-core-schema.xsd下载到项目的src/main/resources/assets/runtimeXsds/目录下，和你的Process.v{xsdVersion}.xsd放在同一目录。

步骤2：修改Process.xsd的引用路径 #

打开你的Process.v{xsdVersion}.xsd，找到引用外部Schema的代码，将HTTP地址替换为本地相对路径：

原引用示例：

<xs:import namespace="http://www.w3.org/2000/09/xmldsig#" schemaLocation="http://www.w3.org/TR/xmldsig-core/xmldsig-core-schema.xsd"/>

修改后：

<xs:import namespace="http://www.w3.org/2000/09/xmldsig#" schemaLocation="xmldsig-core-schema.xsd"/>

步骤3：优化代码并保留安全配置 #

使用Spring标准资源加载方式替代ServletContext，同时维持所有安全配置：

@Autowired
private ResourceLoader resourceLoader;

@PostMapping("/process/validate")
public boolean validateProcessWithXSD(
        @RequestHeader(value = "Authorization", required = true) String jwtToken,
        int xsdVersion, 
        @RequestBody ProcessObj processBytes) throws Exception {
    boolean isValidated = false;
    try {
        String xsdPath = "classpath:assets/runtimeXsds/Process.v" + xsdVersion + ".xsd";
        Resource xsdResource = resourceLoader.getResource(xsdPath);
        // 使用try-with-resources自动关闭流，避免资源泄漏
        try (InputStream xsdStream = xsdResource.getInputStream()) {
            Source source = new StreamSource(xsdStream);
            
            SchemaFactory factory = SchemaFactory.newInstance(XMLConstants.W3C_XML_SCHEMA_NS_URI);
            // 启用安全处理
            factory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);
            // 禁用外部DTD和Schema访问，彻底防范XXE
            factory.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "");
            factory.setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "");
            
            javax.xml.validation.Schema schema = factory.newSchema(source);
            Validator validator = schema.newValidator();
            // 给Validator也设置安全属性，确保验证阶段无外部访问
            validator.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "");
            validator.setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "");
            
            validator.validate(new StreamSource(new ByteArrayInputStream(processBytes.getBytes())));
            isValidated = true;
        }
    } catch (SAXException e) {
        // 捕获验证失败异常，标记为未通过
        isValidated = false;
    }
    return isValidated;
}

关键说明 #

• 本地化Schema后，解析器无需访问外部HTTP资源，安全配置可以保持严格限制，同时通过SonarQube检测。
• 给Validator同步设置安全属性，避免验证阶段出现遗漏的外部访问风险。
• 采用try-with-resources管理输入流，避免资源泄漏问题。

内容的提问来源于stack exchange，提问作者Priyanka W