继续对Fortify的漏洞进行总结，本篇主要针对 XML External Entity Injection（XML实体注入） 的漏洞进行总结，如下：
1.1、产生原因：
XML External Entities 攻击可利用能够在处理时动态构建文档的 XML 功能。XML 实体可动态包含来自给定资源的数据。外部实体允许 XML 文档包含来自外部 URI 的数据。除非另行配置，否则外部实体会迫使 XML 解析器访问由 URI 指定的资源，例如位于本地计算机或远程系统上的某个文件。这一行为会将应用程序暴露给 XML External Entity (XXE) 攻击，从而用于拒绝本地系统的服务，获取对本地计算机上文件未经授权的访问权限，扫描远程计算机，并拒绝远程系统的服务。
下面的 XML 文档介绍了 XXE 攻击的示例：
<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE foo [
<!ELEMENT foo ANY >
<!ENTITY xxe SYSTEM "file:///dev/random"
>]><foo>&xxe;</foo>
如果 XML 解析器尝试使用 /dev/random 文件中的内容来替代实体，则此示例会使服务器（使用 UNIX 系统）崩溃。
例：
图1.1.1：未对XML实体解析方法做安全配置的实例
1.2、修复方案：
应对 XML unmarshaller 进行安全配置，使它不允许将外部实体包含在传入的 XML 文档中。为了避免 XXE injection，请勿将直接处理 XML 源的 unmarshal 方法用作 java.io.File、java.io.Reader 或 java.io.InputStream。使用安全配置的解析器解析文档并使用将安全解析器作为 XML 源的 unmarshal 方法，如下面的示例所示：
例：
图1.2.1：对XML实体解析方法做安全配置的实例