门户网站XML实体注入漏洞(XXE)修改的问题

首先没太看你的描述。如下给出的是解决XXE漏洞方法：

XXE是由于xml解析库在解析xml文件时解析了entity实体造成，可以通过设置解析器不解析entity实体，当然不同的解析器设置方法不同，可根据具体xml解析器直接问度娘，如下是我们公司的代码(其中加粗，斜体，红色为设置不解析entity实体代码)：

public <T> T fromXmlSafe(String xml) {

try {

System.out.println("fromXmlSafe: " + xml);

XMLInputFactory xif = XMLInputFactory.newFactory();

xif.setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, false);

xif.setProperty(XMLInputFactory.SUPPORT_DTD, true);

// StringReader reader = new StringReader(xml);

XMLStreamReader xsr = xif.createXMLStreamReader(new StringReader(xml));

return (T) createUnmarshaller().unmarshal(xsr);

} catch (Exception e) {

throw new RuntimeException(e);

}

}

public Unmarshaller createUnmarshaller() {

try {

return jaxbContext.createUnmarshaller();

} catch (JAXBException e) {

throw new RuntimeException(e);

}

}