通过WSDLReader进行XXE预防

Question

我正在使用WSDLReader.readWSDL()创建Wsdl定义。我想知道javax.wsdl.WSDLReader中是否有可用于检查WSDL中的XXE攻击的标志？

Answer 1

在Java中，您需要显式地关闭它。请尝试以下中的特色链接以关闭https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet#XMLReader

从上面提供的链接中添加要关闭的标志相关代码：

XMLReader spf = XMLReaderFactory.createXMLReader();
spf.setFeature("http://xml.org/sax/features/external-general-entities", false);
spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
spf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd",false);