Spring RestTemplate 无法解组包含“”的 XML

我调用第三方提供的旧网络服务。我正在使用春天RestTemplate:

HttpEntity<MyRequest> requestHttpEntity = new HttpEntity<>(requestBody, headers);
MyResponse response = restTemplate.postForEntity(url, requestHttpEntity, MyResponse.class);

我收到一个 XML（我无法影响其格式，它是第三方服务）作为响应：

<?xml version="1.0" encoding="ISO-8859-1"?>
<!DOCTYPE MyResponse SYSTEM "http://example.com:8080/some/path/MyResponse.dtd">

<MyResponse>
    ...
</MyResponse>

The postForEntity()方法抛出异常

org.springframework.web.client.RestClientException: 
    Error while extracting response for type [class com.example.MyResponse] and content type [text/xml;charset=ISO-8859-1];
nested exception is org.springframework.http.converter.HttpMessageNotReadableException: 
    Could not unmarshal to [class com.example.MyResponse]: null;
nested exception is javax.xml.bind.UnmarshalException

- with linked exception:
     [org.xml.sax.SAXParseException; lineNumber: 2; columnNumber: 10;
     DOCTYPE is disallowed when the feature
     "http://apache.org/xml/features/disallow-doctype-decl" set to true.]

我发现唯一合理的参考http://apache.org/xml/features/disallow-doctype-decl这里的特点：https://xerces.apache.org/xerces2-j/features.html#disallow-doctype-decl https://xerces.apache.org/xerces2-j/features.html#disallow-doctype-decl

问题：如何在不完全避免 Spring RestTemplate 的自动行为的情况下自定义解组？我想强制解组器接受包含具有 DTD 引用的元素的 XML。

这个问题与我的另一个问题密切相关如何在 Spring RestTemplate 中自定义自动封送处理以生成/修改 XML 标头（编码、DOCTYPE） https://stackoverflow.com/q/47836310/2886891，但是那里提出的解决方案在这里并不容易适用。

默认情况下Jaxb2RootElementHttpMessageConverter https://docs.spring.io/spring/docs/current/javadoc-api/org/springframework/http/converter/xml/Jaxb2RootElementHttpMessageConverter.html#setSupportDtd-boolean-禁用 DTD 支持（以及 XML 实体支持）。这样做的原因是它具有安全隐患，请参阅SPR-11376 https://jira.spring.io/browse/SPR-11376.

要在Jaxb2RootElementHttpMessageConverter https://jira.spring.io/browse/SPR-11376你可以设置supportDtd财产给true再次启用它。但请注意，这也会带来一些潜在的安全问题！

@Bean
public Jaxb2RootElementHttpMessageConverter jaxb2RootElementHttpMessageConverter() {
    Jaxb2RootElementHttpMessageConverter converter = new Jaxb2RootElementHttpMessageConverter();
    converter.setSupportDtd(true);
    return converter;
}

这应该足以（重新）配置支持，而无需添加任何其他配置。要记住的一件事是，这将配置全局可用的Jaxb2RootElementHttpMessageConverter因此将影响所有控制器和RestTemplate您可能想使用。

除了这样做之外，您还可以使用RestTemplateBuilder创建实例时应该使用它RestTemplate只影响特定的RestTemplate.

@Bean
public RestTemplate yourRestTemplate(RestTemplateBuilder builder) {
    Jaxb2RootElementHttpMessageConverter converter = new Jaxb2RootElementHttpMessageConverter();
    converter.setSupportDtd(true);

    return builder.messageConverters(converter).build()
}

通过这种方式，您可以针对该实例进行特定配置RestTemplate并配置你喜欢的。