XXE漏洞怎样彻底关闭？

方案3：升级解析库与使用安全解析器

旧版本的解析器（如 Java 1.8 以下的 DocumentBuilderFactory、老版 libxml2）默认配置不安全。

• 升级版本：确保你使用的XML解析库是最新稳定版，现代库（如 Java 11+ 的 DOM、SAX、StAX；Python 3.x 的 xml.etree.ElementTree；PHP 8.0+ 的 libxml2）在默认配置下，部分实体解析已被禁用，但仍需显式禁用以杜绝漏网之鱼。
• 使用安全解析器：
  • Java：推荐使用 XMLInputFactory (StAX) 或 SAXParserFactory，通过上述setFeature进行配置。
  • Python：默认的 xml.etree.ElementTree 较安全，不解析外部实体，但使用 lxml 时，需手动设置 resolve_entities=False。
  • .NET：从 .NET Framework 4.5.2 开始，默认 XmlReader 不再解析外部实体。但：如果使用 XDocument.Load 且未传入 XmlReaderSettings，可能仍存在风险。正确做法：始终传入 new XmlReaderSettings { DtdProcessing = DtdProcessing.Prohibit, XmlResolver = null }。

终极检查清单（逐项确认）

1. 禁用DOCTYPE：disallow-doctype-decl=true（最优先）。
2. 禁用外部实体：external-general-entities=false 和 external-parameter-entities=false。
3. 禁用网络加载：no_network=true 或 LIBXML_NONET。
4. 禁用DTD处理：dtdProcessing=Prohibit（.NET特有）。
5. 升级解析库：使用最新稳定版。
6. 避免使用危险API：
   • 少用 javax.xml.parsers.DocumentBuilder（若必须用，务必设置）。
   • 不用 XmlDocument.LoadXml() (C#) 而不带XmlReaderSettings。
   • 不用 simplexml_load_file() (PHP) 而不禁用实体加载。

最彻底的方式：disallow-doctype-decl 设为 true。

如果无法做到，则必须同时禁用外部实体解析、禁用外部网络请求，并拒绝 SYSTEM/PUBLIC 关键字。