弹簧引导集成XXE预防设置

Question

我们在spring boot+spring集成中有一个应用程序，我们正在尝试引入XXE攻击预防。

在java代码中，我们可以按照下面的链接Sheet#SAXTransformerFactory进行更改

我在github中有一个示例工作示例，其中应用程序使用active mq作为队列管理器。示例输入xml

我可以在上面的样本中做什么样的改变来防止感染。

请帮帮我。

Answer 1

这是一个普遍的答案。。。您可以简单地将自己的转换器实现介绍为bean，而不是使用提供的XSLT转换器。

<int:transformer. . .>
   <bean class=".."/>
</int:transformer>

这样，您就可以完全控制这些类型的自定义。