| 触发点 | 解析用户 XML 的入口：SOAP、SVG 上传、Office 文档解析、RSS 处理 |
|---|---|
| 危害 | 文件读取、SSRF、拒绝服务 |
| 防护 | 禁用 DTD 与外部实体（解析器配置）；能用 JSON 就不用 XML |
排查面
排查面
检索代码中的 XML 解析器初始化点
确认是否设置 disallow-doctype-decl 等安全属性
SVG 与 Office 文档解析库同样需要安全模式部分语言的默认解析配置本身不安全；升级依赖不会自动修复配置问题，需要显式设置。
XXE XML 外部实体注入原理
XXE 出现在解析不可信 XML 时：解析器允许外部实体（DTD）引用，会导致读取本地文件、发起内网请求或拒绝服务；防护是在解析器层面禁用 DTD 与外部实体。
易错点
- 只对主接口做了配置：文件导入、预览等旁路解析同样可被利用，所有解析入口要统一封装
数据来源与参考
- OWASP XXE Prevention Cheat Sheet