XML注入发生在用户输入被直接拼接进XML文档且未转义特殊字符时，例如输入<admin>true</admin>可篡改权限结构。防范措施包括：对<>&等字符进行转义为
XML注入攻击是指攻击者通过在输入数据中插入恶意构造的XML代码，从而破坏应用程序对XML文档的正常解析和处理。这种攻击常发生在应用程序将用户输入直接拼接到XML文档或请求中而未做充分校验和过滤的情况下。攻击可能导致信息泄露、服务中断，甚至被用来执行远程代码。
XML注入是如何发生的？
当应用程序使用用户输入动态生成XML内容时，如果未对特殊字符（如<、>、&等）进行转义或验证，攻击者就可以插入额外的XML节点或修改结构。
例如，一个表单提交用户名，程序将其写入XML：
<user>john</user>若用户输入 <user><admin>true</admin></user>，可能被解析为拥有管理员权限，造成权限提升。
如何有效防范XML注入？
防范XML注入的关键在于输入验证、输出编码和使用安全的编程实践。
- 对特殊字符进行转义：在将用户输入插入XML前，把<替换为，>替换为>，&替换为&等。
- 使用XML序列化库：避免手动拼接XML字符串，应使用成熟的XML处理库（如Java的DOM、SAX，或.NET中的XmlWriter），它们会自动处理编码。
- 严格验证输入数据：限制输入长度、格式和字符集，只允许预期范围内的内容。
- 使用参数化输入或数据绑定：在支持的场景下，采用结构化方式处理数据，避免字符串拼接。
- 禁用外部实体解析：配置XML解析器关闭DTD（Document Type Definition）和外部实体，防止XXE（XML External Entity）攻击，这也属于广义的XML注入风险。
实际开发中的建议
在Web应用或API接口中处理XML数据时，始终假设所有用户输入都是不可信的。无论是表单数据、URL参数还是HTTP头，只要进入XML生成流程，就必须经过净化和验证。
使用现代框架（如Spring、ASP.NET）通常内置了部分防护机制，但仍需开发者正确配置解析器选项，比如设置setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)来阻止DOCTYPE声明。
基本上就这些，核心是别拼接、要转义、用工具、严验证。安全从细节做起。
