为何校验工具判定XML与DTD合规，内部DTD仍被报禁止使用？

你遇到的内部DTD被禁止报错，和XML文档本身的语法合规性完全无关。
当前主流的XML解析框架、业务服务端、第三方接口网关，都会基于XXE（XML外部实体注入）的安全防护要求，默认开启拦截规则：只要检测到XML文档中存在内嵌的内部DOCTYPE定义块，就会直接抛出禁止类错误——哪怕你的文档没有定义任何可被滥用的实体内容，只要带了<!DOCTYPE 根节点[ ... ]>的内嵌结构，就会被无差别拦截，这也是为什么各类校验工具判定文档合规，但对接的系统依然报错的原因。

• 拆分DTD为独立外部文件
  将原先内嵌在XML中的所有元素、属性定义，单独存储为独立的Movies.dtd文件；将XML内的DOCTYPE声明修改为引用外部DTD的格式，完全移除方括号内的内嵌DTD内容：

  <?xml version = "1.0" encoding="UTF-8"?>
  <!DOCTYPE Movies SYSTEM "Movies.dtd">
  <Movies>
  <!-- 原有影片相关的业务内容完全保留，无需做任何改动 -->
  </Movies>
  

• 直接移除无必要的内嵌DTD块
  既然你已经通过校验工具确认XML结构和DTD定义完全匹配、没有额外的强制校验刚需，可以直接删除整段<!DOCTYPE Movies[ ... ]>内嵌DTD声明，仅保留根节点下的业务内容，即可绕过内部DTD的拦截规则。
• 协调对接方调整解析策略
  如果对接的业务平台强制要求保留XML内置的结构校验能力，可以联系平台运维人员调整XML解析器的安全配置，开启「允许内部DTD加载、禁用外部实体解析」的精细化防护规则，替代目前全量拦截带内部DTD文档的粗暴策略。

内容的提问来源于stack exchange，提问作者ByronH