Spring 引导集成 XXE 预防设置

Question

我们在 spring boot+spring 集成中有一个应用程序，我们正在尝试引入 XXE 攻击预防。

在 java 代码中，我们可以根据以下内容进行更改 link https://www.owasp.org/index.php/XML_External_Entity_(XXE)_Prevention_Cheat_Sheet#SAXTransformerFactory

我在 github 中有示例工作示例，其中应用程序使用活动 mq 作为队列管理器。 sample input xml

我可以在上面的示例中进行哪些更改以启用 XXE 预防。

请帮助我。

Answer 1

这更像是一个笼统的答案。 . . 您可以简单地将自己的转换器实现作为 bean 引入，而不是使用提供的 XSLT 转换器

<int:transformer. . .>
   <bean class=".."/>
</int:transformer>

这样您就可以完全控制这些类型的自定义设置