java web项目，如何过滤xml 非法字符，避免出现xxe漏洞？

在Java Web项目中，过滤XML中的非法字符以防止XXE（XML External Entity）漏洞是非常重要的。XXE漏洞可以利用恶意构造的XML实体来访问本地文件系统或者执行远程请求，因此必须有效地防范。

防御XXE漏洞的方法：

1. 禁用外部实体解析： 在解析XML时，禁用外部实体解析可以有效防止XXE漏洞。在Java中，可以通过设置解析器的特性来实现：

   java
   复制代码
   DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
   factory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);  // 启用安全处理特性
   factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);  // 禁用DTD
   

2. 过滤非法字符： XML中允许的字符集是Unicode字符集，但某些控制字符可能被用于攻击。因此，需要过滤掉不在合法XML字符范围内的字符。

   java
   复制代码
   public String sanitizeXmlString(String xmlString) {
       // 移除非法字符
       return xmlString.replaceAll("[\\x00-\\x08\\x0b-\\x0c\\x0e-\\x1f]", "");
   }
   

   这段代码使用正则表达式将ASCII码在0-8、11-12和14-31之间的字符替换为空字符串，这些字符是XML中不允许的。

3. 使用安全的XML解析器： 推荐使用像Apache Xerces等已知安全的XML解析器，它们通常具有默认启用安全特性，能够有效地防御XXE漏洞。

4. 白名单验证： 如果需要从用户输入或者外部系统接收XML，应该实施白名单验证，仅允许特定的实体或节点类型。

示例代码说明

java
复制代码
import javax.xml.XMLConstants;
import javax.xml.parsers.DocumentBuilderFactory;
import java.util.regex.Pattern;

public class XmlUtils {

    public String sanitizeXmlString(String xmlString) {
        // 移除非法字符
        return xmlString.replaceAll("[\\x00-\\x08\\x0b-\\x0c\\x0e-\\x1f]", "");
    }

    public void parseXml(String xml) throws Exception {
        DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
        factory.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true);  // 启用安全处理特性
        factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);  // 禁用DTD

        // 使用安全的XML解析器解析xml
        // ...
    }

    public static void main(String[] args) throws Exception {
        XmlUtils utils = new XmlUtils();
        String maliciousXml = "<!DOCTYPE foo [<!ENTITY xxe SYSTEM 'file:///etc/passwd'>]><foo>&xxe;</foo>";

        // 过滤非法字符
        String sanitizedXml = utils.sanitizeXmlString(maliciousXml);
        System.out.println("Sanitized XML: " + sanitizedXml);

        // 安全解析XML
        utils.parseXml(sanitizedXml);
    }
}

在上面的示例中，sanitizeXmlString方法用于过滤XML中的非法字符，parseXml方法使用了安全的XML解析器来解析经过过滤的XML字符串，有效防范了XXE漏洞。

通过这些方法，可以有效地保护Java Web项目免受XXE漏洞的影响，确保处理的XML数据是安全的和合法的。