Java跳过XML的DTD验证需禁用外部DTD加载并关闭验证功能，核心是设置DocumentBuilderFactory的setValidating(false)和禁用相关feature（如disallow-doctype-decl、external-general-entities等），以防止XXE攻击和网络请求失败。
Java中跳过XML的DTD验证，核心是禁用外部DTD加载和关闭验证功能，避免解析器尝试读取DOCTYPE声明中的DTD（如SYSTEM或PUBLIC引用），从而防止网络请求失败、本地文件缺失或安全风险（如XXE攻击）。
设置DocumentBuilderFactory禁用DTD加载
使用DocumentBuilderFactory时，需显式关闭验证并忽略外部DTD：
-
关闭验证：
setValidating(false) -
禁用外部DTD：
setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false) -
防御XXE（推荐一并设置）：
setFeature("http://xml.org/sax/features/external-general-entities", false)和setFeature("http://xml.org/sax/features/external-parameter-entities", false)
为SAXParser或DOM解析器统一配置安全特性
若使用SAXParserFactory或直接构建DocumentBuilder，同样需在工厂层面设置关键feature：
- 必须设置
http://apache.org/xml/features/disallow-doctype-decl为true——这会直接拒绝含DOCTYPE的XML，最彻底跳过DTD - 搭配
http://javax.xml.XMLConstants/feature/secure-processing开启安全处理模式 - 避免仅靠
setValidating(false)，因为非验证模式下仍可能加载外部DTD
使用Transformer或StAX时的注意事项
如果用Transformer（如XSLT处理）或XMLInputFactory（StAX），DTD跳过逻辑不同：
立即学习“Java免费学习笔记（深入）”；
-
TransformerFactory：调用setFeature("http://apache.org/xml/features/disallow-doctype-decl", true) -
XMLInputFactory（StAX）：factory.setProperty("javax.xml.stream.isReplacingEntityReferences", false)并确保不启用IS_SUPPORTING_EXTERNAL_ENTITIES - StAX默认不解析DTD，但若XML含内嵌DTD且启用了实体支持，仍可能触发；建议配合
setProperty("javax.xml.stream.supportDTD", false)（部分实现支持）
快速验证是否生效
构造一个带DTD声明的测试XML（例如），用上述配置解析。若不抛出SAXParseException或网络连接异常，说明DTD已被成功跳过。注意：启用disallow-doctype-decl后，含DOCTYPE的XML会直接报错，属于预期行为——它不是“跳过验证”，而是“禁止声明”，更安全。
