我们应该处理的 XML 消息的格式是这样的:
<?xml version="1.0" encoding="UTF-8"?>
<ns0:MessageType xmlns:ns0="http://www.path.to/some/schema.xsd">
<ns0:NonRelevantBody>
....
</ns0:NonRelevantBody>
</ns0:MessageType>
收到异常:
javax.xml.bind.UnmarshalException:意外元素(uri:“”,本地:“ns0:MessageType”)。预期的元素是 <{ http://www.path.to/some/schema.xsd }MessageType>
上述异常发生在com.xmlprocessor.MessageParser类中。上述类中的代码曾经是这样(并且已经工作了很长时间):
StringReader stringReader = new StringReader(xmlMessageAsString);
JAXBContext context = new JAXBContext.newInstance(MessageObjectFactory.class);
Unmarshaller unmarshalr = context.createUnmarshaller();
this.messageTypeContent = (MessageTypeContent) unmarshalr.unmarshal(stringReader);
事实证明,这会给你一个糟糕的 XXE 案例。所以我们尝试了一些非常相似的东西 DocumentBuilder、SAXParser 等来禁用外部实体、Doctype 声明等。所有人都给了我们上述相同的例外。无论如何,这是 SAXParser 的变化:
StringReader stringReader = new StringReader(xmlMessageAsString);
SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setFeature("http://xml.org/sax/features/external-general-entities", false);
spf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
spf.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
Source xmlSource = new SAXSource(spf.newSAXParser().getXMLReader(), new InputSource(stringReader));
JAXBContext context = new JAXBContext.newInstance(MessageObjectFactory.class);
Unmarshaller unmarshalr = context.createUnmarshaller();
this.messageTypeContent = (MessageTypeContent) unmarshalr.unmarshal(xmlSource);
com.xmlprocessor.MessageTypeContent类的代码保持不变:
@XmlAccessorType(XmlAccessType.FIELD)
@XmlType(name = "", propOrder = {
"messageType",
"messageApprovalType"
})
@XmlRootElement(name = "MessageType")
public class MessageTypeContent {
// Likely irrelevant unless you say so.
}
我尝试了很多方法,包括将namespace="ns0"或namespace="http://www.path.to/some/schema.xsd"添加到@XmlRootElement注释中,它会导致相同异常的类似版本运行。
请注意,代码中没有语法错误。我所做的任何事情都在将其变成一个问题的过程中。我完全有可能是一个 git,错过了一些非常基本的东西。如果您能指出这一点,我将不胜感激。谢谢。