Java代码审计之XXE漏洞详解

1、XML基础

XML（eXtensible Markup Language）是一种结构性标记语言，在格式上类似于HTML。可用来标记数据，定义数据类型，传输数据。与HTML不同的是，XML的所有数据标签都没有被预定义，因此用户必须自行定义标签后才能使用。

DTD（文档类型定义，Document Type Definition）的作用是定义 XML 文档的合法构建模块。它使用一系列的合法元素来定义文档结构。

 一个XML文档包含XML声明，DTD文档类型定义及文档元素三个部分组成。

实体的分类

在XML文档中，“实体”可以被理解成变量。实体主要包括命名实体、字符实体、外部实体、参数实体。除参数实体外，其它实体都以字符（&）开始，以字符（;）结束。

1）命名实体

内部实体又称为命名实体。命名实体可以说成是变量声明，命名实体只能声明在DTD或者XML文件开始部分（<!DOCTYPE>语句中）。

命名实体（或内部实体）语法：

<?xml version="1.0" encoding="utf-8"?> 
<!DOCTY