XML注入攻击是指攻击者通过在XML输入中插入恶意构造的内容，破坏原有XML结构，进而实现篡改数据、越权访问甚至执行恶意代码的目的。这种攻击常发生在应用接收外部XML输入、动态生成XML内容的场景中，比如接口参数解析、配置文件读写、数据序列化等环节。
XML注入的常见攻击场景
当应用直接将用户输入拼接到XML字符串中时，就容易出现注入漏洞。比如下面的代码存在明显的安全隐患：
// 存在注入风险的XML生成代码 String userInput = <恶意输入内容>; String xml = "<user><name>" + userInput + "</name></user>"; // 如果userInput是 </name><admin>true</admin><name> // 最终生成的XML会变成 <user><name></name><admin>true</admin><name></name></user> // 结构被恶意篡改
防止XML注入的核心方法
1. 对输入内容进行严格验证
首先需要对所有进入XML处理的用户输入做合法性校验，只允许符合预期格式的内容通过。比如如果接收的是用户名，只允许字母、数字和部分安全符号，拒绝包含<、>、&等XML特殊字符的输入。
2. 转义XML特殊字符
如果输入中必须包含特殊字符，需要对这些字符进行转义处理，避免被解析器识别为XML结构标记。XML中需要转义的特殊字符及对应转义序列如下：
| 原始字符 | 转义后内容 |
|---|---|
| < | < |
| > | > |
| & | & |
| " | " |
| ' | ' |
以下是Java中手动转义特殊字符的示例：
public static String escapeXml(String input) {
if (input == null) {
return null;
}
return input.replace("&", "&")
.replace("<", "<")
.replace(">", ">")
.replace(""", """)
.replace("'", "'");
}
// 使用转义后的内容生成XML
String userInput = <用户输入内容>;
String safeInput = escapeXml(userInput);
String xml = "<user><name>" + safeInput + "</name></user>";
3. 使用安全的XML解析和生成方式
避免使用字符串拼接的方式生成XML，优先使用官方提供的XML处理库，这些库通常会内置安全处理机制。比如Java中可以使用DocumentBuilder配合Transformer生成XML，或者使用StAX流式API处理XML内容。
以下是使用DocumentBuilder安全生成XML的示例：
import org.w3c.dom.Document;
import org.w3c.dom.Element;
import javax.xml.parsers.DocumentBuilder;
import javax.xml.parsers.DocumentBuilderFactory;
import javax.xml.transform.Transformer;
import javax.xml.transform.TransformerFactory;
import javax.xml.transform.dom.DOMSource;
import javax.xml.transform.stream.StreamResult;
import java.io.StringWriter;
public static String safeGenerateXml(String userName) throws Exception {
DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
// 禁用外部实体，防止XXE攻击
factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
DocumentBuilder builder = factory.newDocumentBuilder();
Document document = builder.newDocument();
Element root = document.createElement("user");
document.appendChild(root);
Element nameElement = document.createElement("name");
nameElement.appendChild(document.createTextNode(userName));
root.appendChild(nameElement);
TransformerFactory transformerFactory = TransformerFactory.newInstance();
Transformer transformer = transformerFactory.newTransformer();
StringWriter writer = new StringWriter();
transformer.transform(new DOMSource(document), new StreamResult(writer));
return writer.toString();
}
4. 禁用危险的XML特性
很多XML注入攻击会结合XXE（XML外部实体注入）实现更严重的攻击，因此需要在解析XML时禁用DOCTYPE声明、外部实体加载等危险特性。不同语言的XML解析库都有对应的配置项，比如Python的xml.etree.ElementTree可以禁用外部实体解析。
Python中安全解析XML的示例：
import xml.etree.ElementTree as ET
from xml.sax import SAXParseException
def safe_parse_xml(xml_content):
try:
# 禁用外部实体解析
parser = ET.XMLParser(encoding="utf-8")
# 设置解析器不允许加载外部实体
parser.parser.UseForeignDTD(False)
parser.parser.SetParamEntityParsing(0)
root = ET.fromstring(xml_content, parser=parser)
return root
except SAXParseException as e:
print("XML解析失败，内容不合法:", e)
return None
总结
防止XML注入需要从输入验证、特殊字符转义、安全使用XML处理库、禁用危险特性等多个层面入手，不能只依赖单一防护措施。在开发过程中，尽量避免直接拼接XML字符串，优先使用官方提供的安全API处理XML内容，同时对所有外部输入的XML数据做严格校验，才能有效降低XML注入攻击的风险。