使用 RestTemplate SpringBoot 2.3.3 预防 XXE

如何解决使用 RestTemplate SpringBoot 2.3.3 预防 XXE

我正在开发 Spring Boot 2.3.3。和休息模板。下面是获取 XML 的一段代码：

RestTemplate rt = new RestTemplate(); rt.exchange(baseURL + path,HttpMethod.GET,httpentity,classObj);

我有一个带有示例 XML 和 DOCTYPE 的测试用例，应该在解析时失败，但它没有。 Rest 模板似乎正确解析了 XML。 XML :

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE MyResponse SYstem "http://example.com:8080/some/path/MyResponse.dtd">
<ABC xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
 <XYZ>
 </XYZ>
</ABC>

如果我向 XML 添加实体，解析失败并出现 OOM 错误。

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE lolz [<!ENTITY lol 'lol'><!ENTITY lol1 '&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;'><!ENTITY lol2 '&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;&lol1;'><!ENTITY lol3 '&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;'><!ENTITY lol4 '&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;'><!ENTITY lol5 '&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;'><!ENTITY lol6 '&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;'><!ENTITY lol7 '&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;'><!ENTITY lol8 '&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;'><!ENTITY lol9 '&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;'>]><lolz>&lol9;</lolz>
<ABC xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance">
 <XYZ>
 </XYZ>
</ABC>

如何防止 restTemplate 解析文档类型。当我在调试模式下运行测试时，我可以看到 restTemplate 中的 Jaxb2RootElementHttpMessageConverter 已经将 isSupportDtd 设置为 false，这似乎不起作用。