Xml外部實體注入漏洞(XXE)與防禦

Xml外部實體注入(XXE) 除了json外，xml也是一種經常使用的數據傳輸格式。對xml的解析有如下幾種經常使用的方式：DOM，SAX，JDOM，DOM4J，StAX等。然而這幾種解析方式均可能會出現外部實體注入漏洞，如微信支付的回調就出現過（見參考資料2）。php XML文檔結構包括xml聲明，DTD文檔類型定義(可選)和文檔元素，以下圖所示： html DTD的做用是定義XML文檔的合法構

>>阅读原文<<