设置DocumentBuilderFactory和SAXParserFactory的feature禁用DTD验证与外部实体加载，可避免XML解析时因网络问题导致的超时并防范XXE安全风险，建议根据需求选择是否完全禁止DOCTYPE声明。

在使用Java解析XML文档时，如果XML文件包含DTD（Document Type Definition），解析器默认会尝试加载并验证DTD。当网络不可访问或DTD文件无法获取时，容易导致解析失败或超时。为避免此类问题，可以通过设置解析器忽略DTD验证。

使用DocumentBuilderFactory忽略DTD

在基于DOM的XML解析中，可通过配置DocumentBuilderFactory来禁用DTD验证和外部实体加载：

• 设置setValidating(false)：关闭文档验证，不执行DTD校验
• 设置setFeature禁用外部实体和DTD声明

示例代码：

DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setValidating(false);
factory.setNamespaceAware(true);

// 忽略外部DTD和实体
try {
  factory.setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
  factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
  factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
  factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", false);
} catch (ParserConfigurationException e) {
  // 处理不支持feature的情况
}

DocumentBuilder builder = factory.newDocumentBuilder();
Document doc = builder.parse(new InputSource(new StringReader(xmlString)));

使用SAXParser忽略DTD验证

若使用SAX方式解析，也可通过类似方式关闭DTD相关功能：

立即学习“Java免费学习笔记（深入）”；

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

SAXParserFactory spf = SAXParserFactory.newInstance();
spf.setValidating(false);
SAXParser saxParser = spf.newSAXParser();

try {
  saxParser.getXMLReader().setFeature("http://apache.org/xml/features/nonvalidating/load-external-dtd", false);
  saxParser.getXMLReader().setFeature("http://xml.org/sax/features/external-general-entities", false);
} catch (SAXException e) {
  // feature不支持时忽略
}

saxParser.parse(inputStream, handler);

处理DOCTYPE声明的安全风险

除了性能问题，DTD还可能带来XXE（XML External Entity）安全漏洞。即使你不关心验证，也建议彻底禁用DOCTYPE声明以提升安全性：

• 启用disallow-doctype-decl可完全禁止DOCTYPE
• 适用于不需要DOCTYPE的场景，如解析纯数据XML

例如：

factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);

若需保留DOCTYPE但不加载外部资源，保持该选项为false，仅关闭外部实体加载即可。

基本上就这些设置能有效让Java解析XML时跳过DTD验证和网络请求，提升解析稳定性和安全性。根据实际需求选择是否完全禁止DOCTYPE。