Java与XML的故事一：通过XSD生成Java类

关注

原创最新推荐文章于 2026-07-18 15:01:16 发布 4.7k 阅读 AI 写同款· GEO 优化 ›

XXE漏洞深度解析：从XML外部实体原理到实战攻防 XML外部实体（XXE）漏洞是一种基于XML解析机制的安全缺陷，其核心原理在于应用程序在处理用户可控的XML输入时，未对外部实体引用进行有效限制。XML作为可扩展标记语言，通过DTD定义文档结构，而外部实体允许引用系统资源或远程内容。当攻击者注入恶意实体定义时，可利用解析器加载外部资源，从而引发安全风险。该漏洞的技术价值在于其攻击面的多样性，不仅能导致敏感文件读取，还能作为SSRF攻击的入口点，探测内网服务，甚至在某些环境下实现远程代码执行。在应用场景上，XXE常见于显式处理XML的Web服务接口、支持XM 阅读详情

JAXB让Java与XML之间繁琐的机械编码成为过去，现在可以简单的通过XSD文件生成对应的Java文件，我一般使用maven-jaxb2-plugin来实现xsd到java文件的生成。
POM配置
指定xsd文件路径，制定binding文件路径，指定生成java文件路径

<plugin>
  <groupId>org.jvnet.jaxb2.maven2</groupId>
  <artifactId>maven-jaxb2-plugin</artifactId>
  <version>0.9.0</version>
  <executions>
    <execution>
      <id>schema1-generate</id>
      <goals>
        <goal>generate</goal>
      </goals>
      <configuration>
       <schemaDirectory>src/main/resources/dir1</schemaDirectory>
        <schemaIncludes>
          <include>1.xsd</include>
        </schemaIncludes>
        <extension>true</extension>
        <generateDirectory>${project.build.directory}/generated-sources/xjc1</generateDirectory>
        <episodeFile>${project.build.directory}/generated-sources/xjc1/META-INF/1.episode</episodeFile>
          <bindingDirectory>src/main/resources/dir1</bindingDirectory>
        <bindingIncludes>
             <include>1.xjb</include>
        </bindingIncludes>
      </configuration> 
   </execution> 
 </executions>
</plugin>

binding.xjb配置
实现类型匹配，包匹配，如果类型匹配复杂，可能需要实现自己的转换类

<jaxb:bindings xmlns:jaxb="http://java.sun.com/xml/ns/jaxb" xmlns:xjc="http://java.sun.com/xml/ns/jaxb/xjc"
    xmlns:xs="http://www.w3.org/2001/XMLSchema" version="2.0" schemaLocation="book.xsd">

    <jaxb:globalBindings
fixedAttributeAsConstantProperty="true"
typesafeEnumBase="xs:string"
typesafeEnumMemberName="generateName"
generateIsSetMethod="true">
<!-- 
<xjc:noValidator
 />
<xjc:noValidatingUnmarshaller
 />
-->

        <xjc:serializable uid="1" />
        <jaxb:javaType name="java.util.Calendar" xmlType="xs:dateTime" parseMethod="javax.xml.bind.DatatypeConverter.parseDateTime" printMethod="javax.xml.bind.DatatypeConverter.printDateTime" />
    </jaxb:globalBindings>    
    <jaxb:schemaBindings schemaLocation="1.xsd" node="/xs:schema">        
     <jaxb:package name="com.cloud" /> 
    </jaxb:schemaBindings>
  </jaxb:bindings>

Note1: 新版本的plugin不止可以生成java class，还可以帮忙生成object的最重要的几个方法：toString, equals, hashCode, clone，只要在configuration里配置对于的plugin就可以了

<configuration>
    <extension>true</extension>
    <args>
        <arg>-XtoString</arg>
        <arg>-Xequals</arg>
        <arg>-XhashCode</arg>
        <arg>-Xcopyable</arg>
    </args>
    <plugins>
        <plugin>
            <groupId>org.jvnet.jaxb2_commons</groupId>
            <artifactId>jaxb2-basics</artifactId>
            <version><!-- version 0.9.0--></version>
        </plugin>
    </plugins>
</configuration>

Note2: 我遇到过同一个项目中2个xsd文件有同样的node type，不同的内容，虽然指定了不同包来generate source还是报错，最后的解决方案是用2个execution分别解析不同的xsd文件，不过我使用cxf插件就没有遇到这个问题，可以在一个execution里面生成想要的所有Java class。

收录于