security 相关问题

与此问题相关，给出以下名为 customer.xsd 的架构：与这个问题相关，给出以下名为customer.xsd的模式： <xs:schema xmlns:xs="http://www.w3.org/2001/XMLSchema"> <xs:simpleType name="stringMaxSize5"> <xs:restriction base="xs:string"> <xs:maxLength value="5"/> </xs:restriction> </xs:simpleType> <xs:element name="customer"> <xs:complexType> <xs:sequence> <xs:element name="name" type="stringMaxSize5"/> <xs:element ref="phone-number" maxOccurs="2"/> </xs:sequence> </xs:complexType> </xs:element> <xs:element name="phone-number"> <xs:complexType> <xs:sequence/> </xs:complexType> </xs:element> </xs:schema> 以下 XML 文档称为 input.xml： <customer xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance" xsi:noNamespaceSchemaLocation="./customer.xsd"> <name>Jane Doe</name> <phone-number/> <phone-number/> <phone-number/> </customer> 以及以下解组代码： import java.io.File; import java.util.ArrayList; import java.util.List; import javax.xml.bind.JAXBContext; import javax.xml.bind.Unmarshaller; import javax.xml.bind.annotation.XmlRootElement; public class Unmarshal { @XmlRootElement(name = "customer") public static class Customer { public String name; @XmlElement(name="phone-number") public List<PhoneNumber> phoneNumbers = new ArrayList<PhoneNumber>(); } public static class PhoneNumber {} public static void main(String[] args) throws Exception { JAXBContext jc = JAXBContext.newInstance(Customer.class); Unmarshaller unmarshaller = jc.createUnmarshaller(); unmarshaller.setSchema(null); Customer customer = (Customer) unmarshaller.unmarshal(new File("input.xml")); System.out.println(customer.name); } } Java 代码能够将 XML 输入文档反序列化为 Customer 的实例，即使此 XML 文档产生 2 个验证错误（由外部编辑器指示）： cvc-maxLength-valid: Value 'Jane Doe' with length = '8' is not facet-valid with respect to maxLength '5' for type 'stringMaxSize5'.xml(cvc-maxLength-valid) cvc-type.3.1.3: The value 'Jane Doe' of element 'name' is not valid.xml(cvc-type.3.1.3) 和 cvc-complex-type.2.4.f: 'phone-number' can occur a maximum of '2' times in the current sequence. This limit was exceeded. No child element is expected at this point.xml(cvc-complex-type.2.4.f) 这意味着 JAXB 在解组期间没有验证给定的 XML 输入，但是：鉴于 unmarshaller.setSchema(null); 设置为 DISABLE 模式验证，有没有办法证明在解组时 JVM 未访问 customer.xsd 文件的内容？换句话说，有没有办法不盲目相信 JVM 不会加载 XSD 引用，即使模式验证显式设置为 null？更新1：目的是找出 XML 文档内的 XSD 架构引用有多大可能成为安全攻击媒介，如下所述： https://owasp.org/www-community/vulnerability/XML_External_Entity_(XXE)_Processing https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention_Cheat_Sheet.html 谢谢。我并不真正理解检查这一点的必要性，但这里有一个简单的用例，应该证明在解组 XML 时 XSD 文件不会被 JVM 加载：通过任何您想要的插件从 XSD 创建 Java 类，或者像这里一样，手动创建它。将其打包在 jar 文件中，其中不含 XSD（仅限 Java 类）在另一个 Java 程序中从 XML 编写解组代码，该代码依赖于第一个 JAR，并在类路径中没有任何 XSD 的情况下运行它 ==> 即使不知道 XSD 架构，您的代码仍然可以工作您还可以查看 Java 代码本身：实现 com.sun.xml.bind.v2.runtime.unmarshaller.UnmarshallerImpl 接口的 Unmarshaller 的默认 schema 属性为 null（因此将其设置为 null 在上面的代码中是无操作的）您的代码不引用您创建 Java XML-annotated-POJO 的 XSD 本身：JVM 无法猜测您是根据外部模式编写的代码。您还可以在调试模式下运行程序，并看到 XSD 不会被加载（同样，您的 Java 代码中没有引用：您甚至可以删除它，这不会产生任何影响）。不过，我希望我已经回答了你的问题。

java security xsd jaxb unmarshalling

回答 1 投票 0

TFS 2013 - 缺少“查看集合级别信息”权限

我是 TFS 2013 中一个项目的管理员。我试图从 Web 界面更改不同组的权限，但由于错误，我更改了组的以下权限：查看集合...

visual-studio security tfs permissions tfs-2015

回答 1 投票 0

为什么我可以在注册表编辑器中更改值，但不能在以管理员身份运行的 C# 表单应用程序中更改值？

我尝试在 C# 中启用声音设备。这会导致 System.Security.SecurityException：“不允许请求的注册表访问。”。只需加载（读取）密钥即可，因此路径是正确的。该...

c# windows security audio registry

回答 1 投票 0

Java 解密 - 使用填充密码解密时输入长度必须是 8 的倍数

我有一个安全课程项目，但遇到了问题。基本上，我正在尝试加密然后解密密码，但我在解密时收到此错误。 “输入长度必须为 mu...