XML注入因未过滤用户输入导致恶意内容插入，如通过特殊字符篡改XML结构，防范需输入验证、使用安全API及禁用外部实体。
XML注入攻击是一种针对应用程序处理XML数据时的安全漏洞利用方式。当应用程序未对用户输入进行有效过滤或验证，直接将其拼接到XML文档或请求中时，攻击者可以插入恶意内容，改变原有XML结构，从而操控系统行为、获取敏感信息，甚至执行远程代码。
XML注入是如何发生的
XML数据常用于数据交换，特别是在Web服务（如SOAP）和配置文件中。如果程序将用户输入直接嵌入到XML内容中，而没有进行转义或验证，攻击者就可以输入特殊字符（如、&等），构造出非预期的XML节点。
例如，一个正常的XML片段可能是：
<user><name>Alice</name></user>但若用户输入为：Alice<admin>true</admin>，且未做处理，生成的XML可能变为：
<user><name>Alice<admin>true</admin></name></user>这可能导致权限提升或其他逻辑错误。
常见的XML注入风险场景
- Web服务接收用户数据并生成XML进行处理
- 应用程序读取XML配置文件，其中部分内容来自用户输入
- 使用字符串拼接方式构造XML内容
- 未启用安全解析选项的XML解析器
如何有效防范XML注入
防范XML注入的核心是避免将未经处理的用户输入嵌入XML，并使用安全的编程实践。
1. 输入验证与过滤对所有用户输入进行严格校验，限制允许的字符集。例如，只允许字母、数字和常见符号，拒绝包含XML元字符（、&、"、'）的输入。
2. 使用XML转义在将用户数据插入XML前，对特殊字符进行实体编码：
-
<→ -
>→> -
&→& -
"→" -
'→'
大多数编程语言的XML库都提供自动转义功能，应优先使用。
3. 使用安全的XML API避免手动拼接XML字符串，使用DOM、SAX或StAX等标准API构建XML。这些接口会自动处理字符转义。
例如，在Java中使用DocumentBuilder，在Python中使用xml.etree.ElementTree。
4. 启用安全解析配置防止外部实体注入（XXE），这是XML注入的一种变种。应禁用DTD和外部实体加载：
- Java中设置
setFeature("http://apache.org/xml/features/disallow-doctype-decl", true) - Python中使用defusedxml库替代标准xml模块
- .NET中设置XmlReaderSettings.DtdProcessing为Prohibit
运行XML解析服务的进程应使用最低必要权限，减少攻击成功后的危害范围。
基本上就这些。只要不拼接XML字符串、做好输入控制、使用安全API，就能有效抵御XML注入。关键在于把用户输入当作不可信数据来处理。
