AI / 编程与调试

XML 解析器先关外部实体

老代码里的 XML 解析默认开着 DTD，既读文件也能打内网

我们要接收 [合作方] 发来的 XML 报文。请针对 [语言与库名] 的解析器，给出关闭 DTD 与外部实体的具体配置，并说明还有哪些同类风险要一起关（XInclude、实体扩展导致的拒绝服务）。如果业务确实需要 DTD 校验，请给出替代方案与必须加的 [大小与深度] 限制。同一份配置请同时覆盖解析与序列化两处。