XML解析器防XXE攻击：三种SonarQube方案差异及零影响选型咨询

问题背景 #

现有遗留代码使用DocumentBuilderFactory解析XML输入流，被SonarQube检测出XXE（XML外部实体注入）漏洞，Sonar提供了三种修复方案，下面详细解释各方案差异，并给出对现有代码影响最小的选择建议。

现有问题代码 #

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
try {           
    DocumentBuilder db = dbf.newDocumentBuilder();
    dom = db.parse(sIn);
} catch (ParserConfigurationException pce) {
    log.error("ERROR-pce***************************"+pce.getMessage(),pce);
    throw pce;
} catch (SAXException se) {
    log.error("ERROR-se**********************"+se.getMessage(),se);
    throw se;
} catch (IOException ioe) {
    log.error("ERROR-ioe*********************"+ioe.getMessage(),ioe);
    throw ioe;
}

输入流定义：

InputStream sIn = new ByteArrayInputStream(contenidoXml.getBytes(StandardCharsets.UTF_8));

三种修复方案差异解析 #

方案1：完全禁用DOCTYPE声明 #

DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

• 作用：直接禁止XML文档中包含任何DOCTYPE声明，一旦XML里有<DOCTYPE>标签，解析会直接抛出异常。
• 适用场景：业务中处理的XML从来不需要DOCTYPE声明（比如纯数据XML，无DTD/Schema约束）。

方案2：完全禁用外部实体声明 #

DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);

• 作用：允许XML包含DOCTYPE声明，但禁止解析器加载外部通用实体和外部参数实体。外部实体是指引用XML文档外部资源（比如本地文件、远程URL）的实体，这类实体是XXE攻击的核心载体。
• 特点：不影响XML内部实体和内部DTD子集的使用，只阻断外部资源的引入。

方案3：禁止外部实体使用任何协议 #

DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "");
factory.setAttribute(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "");

• 作用：允许DOCTYPE和外部实体声明，但严格禁止外部实体通过任何协议（如HTTP、FILE等）访问外部资源，彻底切断外部实体的资源获取路径。
• 特点：比方案2的限制更严格，不仅禁用外部实体解析，还直接禁止所有外部DTD/Schema的访问请求。

最小影响方案选择 #

针对遗留代码的兼容性需求，优先推荐按以下逻辑选择：

1. 优先确认现有XML是否使用DOCTYPE：
   • 如果业务XML从来没有DOCTYPE声明：选择方案1，仅需添加一行代码，修改量最小，完全不会影响现有解析逻辑。
   • 如果业务XML包含DOCTYPE，但仅使用内部实体/内部DTD：选择方案2，既修复XXE漏洞，又不会破坏现有XML的解析，是兼容性和安全性平衡最好的选项。
   • 如果业务XML必须依赖外部DTD/Schema但实际不需要访问外部资源（比如仅使用本地DTD文件）：需谨慎评估，方案3会禁止所有外部访问，可能导致解析失败，这种情况下建议优先调整XML结构，改用内部DTD，再选择方案2。

内容的提问来源于stack exchange，提问作者Grismak