JAX-RPC 和 Axis2 是否受到 XML 注入的保护？

【问题标题】：Are JAX-RPC and Axis2 protected against XML Injection?JAX-RPC 和 Axis2 是否受到 XML 注入的保护？
【发布时间】：2011-06-27 13:23:08
【问题描述】：

JAX-RPC 和 Axis2 是否具有对 XML injection 的内置支持？

如果没有，我如何添加自定义代码来自行执行转义和架构验证？

编辑：我查看了JAX-RPC 生成的代码，看起来代码执行了架构验证 - 所以这是保护XML injection 的一步。剩下的问题是 - 字符转义怎么办？

关于 Axis2 - 我认为它是基于代表模型的实际 bean 上的 annotations 完成的 - 所以如果没有限制 annotations - 似乎 XML injection 是可能的 - 但我更喜欢专家的回答也是如此。

【问题讨论】：

【解决方案1】：

如果这两种技术中的任何一种都容易受到 XML 注入的攻击，我会感到惊讶（顺便说一下，您是指 XPath 注入吗？）。它们建立在标准的 Java API 之上，例如已经存在很长时间的 JAXP，并自动转义任何危险字符 <、& 等。

这并不意味着您在自己的应用程序中使用这些技术时不必小心不要引入注入漏洞。例如，在 Java 中安全地参数化 XPath 查询似乎仍然很困难。

【讨论】：

感谢您的回答，在serialization 期间，我确信他们执行了转义。但是在de-serializaton 期间，没有什么可做的了。如果我有一台服务器，而我的客户端没有使用这些工具中的任何一个——它将为任何人在 XML 到达我之前对其进行操作留出空间。它会让我仍然脆弱。
我不确定我们是否使用相同的 XML 注入定义。也许您可以准确地更新您的问题？