Java解析XML时如何忽略DTD验证_Java解析XML忽略DTD验证设置

幻夢星雲 2025-11-01 00:00:00 次阅读

设置DocumentBuilderFactory和SAXParserFactory的feature禁用DTD验证与外部实体加载，可避免XML解析时因网络问题导致的超时并防范XXE安全风险，建议根据需求选择是否完全禁止DOCTYPE声明。

在使用Java解析XML文档时，如果XML文件包含DTD（Document Type Definition），解析器默认会尝试加载并验证DTD。当网络不可访问或DTD文件无法获取时，容易导致解析失败或超时。为避免此类问题，可以通过设置解析器忽略DTD验证。

使用DocumentBuilderFactory忽略DTD

在基于DOM的XML解析中，可通过配置DocumentBuilderFactory来禁用DTD验证和外部实体加载：

设置setValidating(false)：关闭文档验证，不执行DTD校验
设置setFeature禁用外部实体和DTD声明

示例代码：

DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setValidating(false);
factory.setNamespaceAware(true);

// 忽略外部DTD和实体
try {
  factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
  factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
  factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
  factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", false);
} catch (ParserConfigurationException e) {
  // 处理不支持feature的情况
}

DocumentBuilder builder = factory.newDocumentBuilder();
Document

doc = builder.parse(new InputSource(new StringReader(xmlString)));

使用SAXParser忽略DTD验证

若使用SAX方式解析，也可通过类似方式关闭DTD相关功能：

SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setValidating(false);
SAXParser saxParser = spf.newSAXParser();

try {
  saxParser.getXMLReader().setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
  saxParser.getXMLReader().setFeature("http://xml.org/sax/features/external-general-entities", false);
} catch (SAXException e) {
  // feature不支持时忽略
}

saxParser.parse(inputStream, handler);