を無効にDTDのjavax XMLバリデータ

Question

に私は以下のように私のxmlを検証するためにjavax.xml.validation.Validatorを使用しています -

 Validator validator = myschema.newValidator(); 
     validator.validate(new StreamSource(new StringReader(xmlString))); 

私は完全のDTD（文書型定義）を無効にすることによって、XML外部エンティティ攻撃を防ぐしたいので、私は思います可能であれば、バリデーターがXML内のDTDの場合に例外をスローするのが好きです。私はDocumentBuilderFactoryを使ってこれについて行うことを読んだ。 Validatorでこれをどのように設定するのですか？

Answer 1

Java用OWASP XXE prevention spreadsheetによれば、次のように動作するはずです：

SchemaFactory factory = SchemaFactory.newInstance("http://www.w3.org/2001/XMLSchema"); 
Schema myschema = factory.newSchema(); 
Validator validator = myschema.newValidator(); 
try { 
    validator.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, ""); 
    validator.setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, ""); 
    validator.validate(new StreamSource(new StringReader(xmlString))); 
} catch ... 

は詳細についてはXMLConstants JavaDocsを参照してください。