在Python开发中，如果直接使用了标准库里的xml.dom.minidom、xml.etree.ElementTree等模块去解析不可信的XML内容，程序可能会受到实体扩展攻击或XML炸弹的影响。defusedxml这个库提供了安全的替代实现，安装后只需更换导入方式即可防御常见XML解析漏洞。
什么是defusedxml
defusedxml是一个用于安全解析XML的Python第三方库，它对标准库中的多个XML解析接口做了包装，在底层禁用了外部实体加载、限制实体展开次数，从而防止恶意构造的XML文件耗尽内存或读取本地文件。
如何安装defusedxml
安装过程非常简单，推荐使用pip进行安装。确保你的环境中已经配置了Python和pip，然后在命令行中执行下面的指令：
# 使用pip安装defusedxml pip install defusedxml # 如果系统同时存在Python2和Python3，可使用pip3 pip3 install defusedxml
安装完成后，可以通过导入库来验证是否成功：
# 验证defusedxml是否安装成功
try:
import defusedxml
print("defusedxml安装成功")
except ImportError:
print("defusedxml未安装")
如何使用defusedxml解析XML
下面以解析一段XML字符串为例，展示如何使用defusedxml替代标准库来防止攻击。注意代码中的<code>defusedxml.ElementTree</code>就是安全版本的ElementTree。
from defusedxml.ElementTree import fromstring
xml_data = """
<root>
<item>正常内容</item>
</root>
"""
# 使用defusedxml解析，避免外部实体和实体炸弹
tree = fromstring(xml_data)
print(tree.tag)
for child in tree:
print(child.tag, child.text)
常见注意事项
- 不要混用标准库xml与defusedxml，统一使用defusedxml提供的模块。
- 在Web接口接收XML时，服务端应强制使用defusedxml相关解析函数。
- 若使用lxml，可配合defusedxml.lxml中的防御函数。
小结
通过pip安装defusedxml并用它替换标准XML解析接口，是防范XML攻击成本最低的做法之一。对需要处理外部XML输入的Python项目，建议尽早接入该库。
PythondefusedxmlXML安全解析修改时间：2026-07-31 08:33:17