无法识别属性'http://javax.xml.XMLConstants/property/accessExternalDTD'时引发异常

2022-06-24 00:00:00 xml xml-parsing java xxe

我希望在我的项目中防止XXE攻击。它是在Java 7(no maven)和JBoss-as-7服务器上运行的旧API项目。但在执行过程中,我收到错误: 无法识别org.xml.sax.SAXNotRecognizedException:属性"http://javax.xml.XMLConstants/property/accessExternalDTD"。

 org.xml.sax.SAXNotRecognizedException: Property 'http://javax.xml.XMLConstants/property/accessExternalDTD' is not recognized.

15:19:02,845 ERROR [stderr] (http-localhost-127.0.0.1-8080-3)   at org.apache.xerces.jaxp.validation.ValidatorImpl.setProperty(ValidatorImpl.java:218)

15:19:02,846 ERROR [stderr] (http-localhost-127.0.0.1-8080-3)   at com.uid.kua.web.KUARestController.authenticateAtAUA(KUARestController.java:118)

15:19:02,847 ERROR [stderr] (http-localhost-127.0.0.1-8080-3)   at sun.reflect.NativeMethodAccessorImpl.invoke0(Native Method)

15:19:02,847 ERROR [stderr] (http-localhost-127.0.0.1-8080-3)   at sun.reflect.NativeMethodAccessorImpl.invoke(NativeMethodAccessorImpl.java:57)

15:19:02,848 ERROR [stderr] (http-localhost-127.0.0.1-8080-3)   at sun.reflect.DelegatingMethodAccessorImpl.invoke(DelegatingMethodAccessorImpl.java:43)

15:19:02,849 ERROR [stderr] (http-localhost-127.0.0.1-8080-3)   at java.lang.reflect.Method.invoke(Method.java:606)

我搜索过它,每个论坛都有不同的含义,说它是一个错误。我还没有为这一例外找到任何相关的解决方案。请帮帮忙。提前谢谢。


解决方案

终于解决了。我把答案贴出来,以防这对任何人有帮助。 在通过在线解决方案后,我无法检测到导致上述错误的主要问题。 对于XXE预防,我们需要一些已定义的属性,如: XMLConstants.ACCESS_EXTERNAL_DTD XMLConstants.ACCESS_EXTERNAL_SCHEMA

我们需要Xerces和jaxp-apijar来传递XML,并通过设置上面的一些属性来阻止API提供的XXE来解析XML。在JDK 7之前,这些已包含在JDK 7及更高版本中。因此,我们不需要在项目类路径中导入上述JAR。

在我的例子中,我使用JBoss-AS-7.1.1作为应用服务器,它也有自己的Xerces JAR(org.apache.xerces.)。但Java也附带了自己的Xerces和jaxp实现(com.sun.xerces.)。因此,在部署WAR时,我们收到上述错误,因为这两个JAR在JBoss加载其自己的Xerces JAR时彼此冲突。

解决方案: 我们需要通过在jboss/org/apache/xerces/main/modules.xml文件中进行更改来排除JBoss Xerces实现。注释掉如下所示的行:

> <module xmlns="urn:jboss:module:1.1" name="org.apache.xerces">    
> <!--
>     <resources>
>         <resource-root path="xercesImpl-2.9.1-jbossas-1.jar"/>
>         Insert resources here
>     </resources>
> -->
>     <dependencies>
>         <module name="javax.api"/>
>     </dependencies>
> 
> </module>
现在部署并运行您的应用程序。 编码愉快。

相关文章