IllegalArgumentException：为“XML 解析器不应容易受到 XXE 攻击”的 sonarqube 解决方案时不受支持

编程问答 2022-05-28

问题描述

我的 java 项目中有这个 sonarqube 问题：在 XML 解析中禁用对外部实体的访问。 我已经实现了这样的合规解决方案：

TransformerFactory transformerFactory = TransformerFactory.newInstance();
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD,"");
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET,"");

但是现在当我调试代码时，我遇到了这个异常：

java.lang.IllegalArgumentException: Not supported: http://javax.xml.XMLConstants/property/accessExternalDTD

我做错了什么？

解决方法

您的应用程序中 Transformer Factory 的实现可能不支持属性 XMLConstants.ACCESS_EXTERNAL_DTD 和 XMLConstants.ACCESS_EXTERNAL_STYLESHEET。

您可以尝试以这种方式创建 Transformer Factory 的实例：

TransformerFactory transformerFactory = new com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl();
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD,"");
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_STYLESHEET,"");

而不是您的实际代码：

TransformerFactory transformerFactory = TransformerFactory.newInstance();
transformerFactory.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD,"");
illegalargumentexceptionillegalargumentexceptionillegalargumentexceptionjavajavasonarqubexxe