Android Studio 找不到属性 XMLConstants.ACCESS_EXTERNAL_DTD

Question

我遇到了与这篇文章非常相似的问题 - Java and Xerces: can't find property XMLConstants.ACCESS_EXTERNAL_DTD - 但我正在使用 Android Studio IDE。

我也在尝试解决有关禁用 XML 外部实体 (XXE) 处理的相同问题，该问题在我们的 SonarCloud 分析中作为漏洞提出（请参阅：https://sonarcloud.io/project/issues?id=org.digitalcampus.mobile.learning&open=AW3ezGnx-dJmagWAiKPH&resolved=false&types=VULNERABILITY）。

据我所知，我安装了最新版本的 Android Studio，以及所有最新的 Java 更新，我的 Android Studio 的关于对话框显示如下：

Android Studio 3.5.3
Build #AI-191.8026.42.35.6010548, built on November 15, 2019
JRE: 1.8.0_202-release-1483-b49-5587405 amd64
JVM: OpenJDK 64-Bit Server VM by JetBrains s.r.o
Linux 4.15.0-76-generic

非常感谢有关如何解决此问题的任何反馈/帮助，以便我可以从我的代码中删除该漏洞。如果您可能需要任何其他特定信息（版本等），请告诉我。

提前感谢您的帮助...

更新（20 年 14 月 2 日）... 看起来 ACCESS_EXTERNAL_DTD 常量在 Android 中不可用 - 请参阅 Android java 参考文档：https://developer.android.com/reference/javax/xml/XMLConstants.html。

那么 FEATURE_SECURE_PROCESSING 常量就足够了吗？

Answer 1

您可以使用以下代码解决您的问题，查看XML External Entity Prevention Cheat Sheet了解更多详情

 DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
    String FEATURE = null;
    try {

        dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
        dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);
        dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
        dbf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
        dbf.setXIncludeAware(false);
        dbf.setExpandEntityReferences(false);


    } catch (ParserConfigurationException e) {
        // This should catch a failed setFeature feature


    } catch (SAXException e) {
        // On Apache, this should be thrown when disallowing DOCTYPE

    } catch (IOException e) {
        // XXE that points to a file that doesn't exist

    }

// Load XML file or stream using a XXE agnostic configured parser...
        DocumentBuilder safebuilder = dbf.newDocumentBuilder();

如果有帮助，请将其标记为答案。