if (!req.file) {
res.sendStatus(500); return;
}

try {
const xml = req.file.buffer; const doc = libxmljs.parseXml(xml, {noent: true});

if (doc.text().includes("<!ENTITY")) {
throw new Error("INVALID XML FILE");
}

res.send(doc.text());
} catch (err) {
res.send(err.toString()); res.sendStatus(500);
}
});

在使用我們的庫(kù)解析 XML 文檔之前，只需檢查其中是否有包含我們列表中沒有的“ENTITY”的字符串，我們就可以為應(yīng)用程序提供最低級(jí)別的安全性。

萬無一失的解決方案

我最后要告訴你們的是，最好的安全方法就是首先不要打開門。

除非應(yīng)用程序需要，否則不要解析 XML。盡管解析 XML 可能會(huì)帶來便利，但還有許多方法可以提供等效功能，而不會(huì)暴露這些漏洞。

下一步是什么？

毋庸置疑，保護(hù)我們的平臺(tái)免受不良行為者的攻擊需要對(duì)所使用的技術(shù)和基礎(chǔ)設(shè)施有廣泛的了解。

然而，如果你負(fù)責(zé)管理一個(gè)高效的團(tuán)隊(duì)，肩負(fù)重任，壓力重重，那么盡最大努力為他們提供工具和機(jī)制，讓他們發(fā)揮出最佳水平就至關(guān)重要。這不是一件容易的事。

幸運(yùn)的是，我們已經(jīng)為您開發(fā)出了理想的解決方案。

我們的動(dòng)態(tài)應(yīng)用程序安全測(cè)試解決方案是一種出色且功能強(qiáng)大的解決方案，它使團(tuán)隊(duì)能夠?qū)Ｗ⒂谠诰W(wǎng)絡(luò)上提供最佳解決方案，同時(shí)保護(hù)您的用戶。

文章來源：Vue XML External Entities (XXE) Guide: Examples and Prevention

上一篇：

什么是跨站點(diǎn) 請(qǐng)求偽造（CSRF）？

下一篇：

Kotlin 損壞 認(rèn)證指南： 示例和預(yù)防
#你可能也喜歡這些API文章!

我們有何不同？

API服務(wù)商零注冊(cè)

多API并行試用

數(shù)據(jù)驅(qū)動(dòng)選型，提升決策效率

查看全部API→
??

熱門場(chǎng)景實(shí)測(cè)，選對(duì)API

#AI文本生成大模型API

對(duì)比大模型API的內(nèi)容創(chuàng)意新穎性、情感共鳴力、商業(yè)轉(zhuǎn)化潛力

25個(gè)渠道
一鍵對(duì)比試用API 限時(shí)免費(fèi)

#AI深度推理大模型API

對(duì)比大模型API的邏輯推理準(zhǔn)確性、分析深度、可視化建議合理性

10個(gè)渠道
一鍵對(duì)比試用API 限時(shí)免費(fèi)