XML-Validierung mit XSD in Java

Question

Ich habe die folgende Klasse:

package com.somedir.someotherdir; 

import java.util.logging.Level; 
import java.util.logging.Logger; 

import javax.xml.XMLConstants; 
import javax.xml.transform.stream.StreamSource; 
import javax.xml.validation.Schema; 
import javax.xml.validation.SchemaFactory; 
import javax.xml.validation.Validator; 

public class SchemaValidator 
{ 
private static Logger _logger = Logger.getLogger(SchemaValidator.class.getName()); 

/** 
    * @param file - the relative path to and the name of the XML file to be validated 
    * @return true if validation succeeded, false otherwise 
    */ 
public final static boolean validateXML(String file) 
{ 
    try 
    { 
    SchemaFactory factory = SchemaFactory.newInstance(XMLConstants.W3C_XML_SCHEMA_NS_URI); 
    Schema schema = factory.newSchema(); 
    Validator validator = schema.newValidator(); 
    validator.validate(new StreamSource(file)); 
    return true; 
    } 
    catch (Exception e) 
    { 
    _logger.log(Level.WARNING, "SchemaValidator: failed validating " + file + ". Reason: " + e.getMessage(), e); 
    return false; 
    } 
} 
} 

Ich mag würde wissen, ob ich schema.newValidator("dir/to/schema.xsd") schließlich verwenden soll oder ist die aktuelle Version in Ordnung? Ich habe gelesen, dass es eine DoS-Schwachstelle gibt, vielleicht könnte jemand mehr Informationen dazu liefern? Muss der Pfad absolut oder relativ sein?
Die meisten der zu validierenden XMLs haben jeweils ihre eigene XSD, daher würde ich gerne das Schema lesen, das im XML selbst erwähnt wird (xs:noNamespaceSchemaLocation="schemaname.xsd").
Die Validierung wird nur während des Starts oder manuellen Neuladens (Serversoftware) durchgeführt.

Answer 1

Meinst du wirklich XML DTD DOS Angriff? Wenn ja, gibt es einige gute Artikel im Internet:

XML Denial-of-Service-Angriffe und Verteidigungen http://msdn.microsoft.com/en-us/magazine/ee335713.aspx

Von IBM developerWorks. "Tip: Configure SAX parsers for secure processing".

Entity Resolution eine Reihe potenzieller Sicherheitslücken in XML öffnet [ ...]
- Die Site, auf der die externe DTD gehostet wird, kann die Kommunikation protokollieren. [...]
- Die Site, die die DTD hostet, kann das Parsing verlangsamen [...] Es kann auch die Analyse vollständig stoppen, indem eine fehlerhafte DTD bereitgestellt wird.
- Wenn die entfernte Site die DTD ändert, kann sie mit dafault-Attributwerten neue Inhalte in das Dokument einfügen. [...] Sie können den Inhalt des Dokuments ändern, indem sie Entity-Referenzen neu definieren.

Dachte, ich bin nicht sicher, dass sie direkt auf Ihr Programm angewendet werden kann, kann es einige Anhaltspunkte für weitere Untersuchungen geben

Answer 2

Wie ich es interpretieren, die javax.xml.validation.Schema Objekt zurückgegeben von SchemaFactory.newSchema() werden versuchen, andere Schemata zu holen verweist in den xml/xsd-Dateien auf die Validierung, wie in den entsprechenden xsi:schemaLocation-Attributen angegeben. Dies bedeutet, dass:

1. Wenn Ihre Schemata Schemata im Internet gehostet beziehen, das Schema Objekt wird versuchen, sie während der Laufzeit zu holen. Solange ich weiß, speichert die Standardimplementierung Schema diese Schemas nicht zwischen. Die W3C already reported über schlechte Kodierungspraktiken führt zu De-facto-DDoS auf ihrer Website (bis zu 130M dtd Anfragen pro Tag!).
2. Wenn Sie externe unkontrollierte XML-Dateien überprüfen möchten, werden Sie auch der Schema ausgesetzt, die versucht, andere Schemas von "möglicherweise schlecht beabsichtigten" XML-Quellen abzurufen.

Weitere bösen Angriffsvektoren, werfen Sie einen Blick in sign's previous answer

dieser Gefahr zu vermeiden, können Sie alle externen Ressourcen lokal speichern und verwenden Sie die SchemaFactory.setResourceResolver Methode der Schema zu instruieren, wie sie zu holen.