Veracode XML外部实体参考（XXE）

您是否看到过有关XXE的OWASP指南？

您没有禁用应禁用的3个功能。最重要的是第一个：

dbf.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);dbf.setFeature("http://xml.org/sax/features/external-general-entities", false);dbf.setFeature("http://xml.org/sax/features/external-parameter-entities", false);