XXE攻击是因XML解析器启用外部实体导致的安全漏洞，可读取本地文件、触发SSRF或DoS；防范需禁用DTD与外部实体、使用安全库、输入验证及最小权限配置。
XXE（XML外部实体注入）攻击是一种针对解析XML输入的应用程序的安全漏洞。当应用程序在处理XML数据时，启用了外部实体解析，并且没有对输入进行严格过滤，攻击者就可以构造恶意的XML内容，读取服务器本地文件、执行远程请求，甚至实现服务器端请求伪造（SSRF）或拒绝服务攻击。
XXE攻击的常见形式
攻击者通常利用XML中的DOCTYPE定义来引入外部实体。例如：
]>
&xxe;
如果应用程序解析该XML并返回结果，就可能泄露系统敏感文件内容。
- 读取本地系统文件（如 /etc/passwd）
- 发起带外（OOB）请求，通过DNS或HTTP回连获取数据
- 探测内网服务或触发SSRF
- 导致资源耗尽，引发拒绝服务（如 billion laughs 攻击）
如何防范XXE攻击
保护应用程序的关键是禁用危险的XML功能，并对输入进行安全处理。
禁用外部实体和DTD解析
大多数编程语言的XML解析器都支持关闭外部实体。例如：
- Java (DocumentBuilder)：设置 `setFeature(“http://apache.org/xml/features/disallow-doctype-decl”, true)` 和禁用外部实体
- Python (lxml)：使用 `defusedxml` 库替代标准库，或禁用实体解析
- .NET (XmlReader)：设置 `DtdProcessing` 为 Prohibit 或 Ignore
- PHP：使用 `libxml_disable_entity_loader(true)`
避免直接解析用户提交的XML
如果业务允许，尽量使用更安全的数据格式，如JSON。若必须使用XML，应验证其结构并限制复杂度。
