如何阻止Sun JDK1.6内置的stax解析器解析DTD实体?

您应该能够实现一个自定义的XML解析器,它重定向将外部DTD提取到本地资源的尝试(如果您的代码只解析特定的文档类型,那么这通常是JAR中的类资源)。

class CustomResolver implements javax.xml.stream.XMLResolver {

  public Object resolveEntity(String publicID,
                              String systemID,
                              String baseURI,
                              String namespace)
                  throws XMLStreamException 
  {
    if ("The public ID you expect".equals(publicID)) {
      return getClass().getResourceAsStream("doc.dtd");
    } else {
      return null;
    }
  }

请注意,有些文档只包含“systemid”,因此您应该返回到检查状态。系统标识符的问题在于它应该是“系统”特定的URL,而不是一个众所周知的、稳定的URI。实际上,它经常被当作一个URI来使用。

见 setXMLResolver 方法。

另外:如果到目前为止您一直在使用与JDK1.6捆绑在一起的默认sun-stax解析器,那么您的原始方法(将support-dtd设置为false)可能适用于woodstox。