是否將表示文件的字節數組轉換爲java中的字符串存在安全風險？

Question

我正在保護軟件免受XML擴展攻擊，我想通過XMLReader運行存儲爲字節數組的文件，以測試擴展循環。從字節數組中簡單地創建一個字符串是安全的嗎，還是將我的軟件打開到可能的漏洞的全新區域？

String xml = new String (myByteArray); 

Answer 1

感謝所有的評論。

由於Raedwald指出，它不一定是安全問題，但將byte []轉換爲String時可能會丟失數據。

我發現這種方法工作，它似乎是安全的。通過這段代碼，一個SAXParseException將在100,000次擴展時拋出。使用安全管理器或設置系統屬性或在運行時使用-DentityExpansionLimit = | number |可以減少此限制。

InputStream textReader = new ByteArrayInputStream (myByteArray); 
SAXParserFactory parserFactory = SAXParserFactory.newInstance(); 
try { 
     XMLReader reader = parserFactory.newSAXParser().getXMLReader(); 
     reader.setFeature(XMLConstants.FEATURE_SECURE_PROCESSING, true); 
     InputSource inputSource = new InputSource(textReader); 
     reader.parse(inputSource); 
}