Клиент веб-службы CXF: не удается создать безопасный XMLInputFactory

Была эта проблема при обновлении с CXF 2.3.x до 2.7.x

Добавлены jar-файлы stax2-api и woodstox-core-asl из дистрибутива 2.7.x CXF, и веб-сервис снова работает.

у меня была похожая проблема

После добавления этого -Dorg.apache.cxf.stax.allowInsecureParser=1 к JAVA_OPTIONS в setDomainEnv.sh теперь все работает нормально.

Начиная с версии 2.7.4, в CXF добавлена ​​функция, обеспечивающая защиту XMLInputFactory и ее загрузку из пакетов woodstox (>= 4.2.x, см. реализация StaxUtil), чтобы иметь дело с Отказ в обслуживании

Но дело в том, что в среде J2EE по умолчанию webservices-rt.jar имеет приоритет над war libs (а потом и над jar вудстоком). Вот почему загружается незащищенная реализация, вызывающая исключение.

Отключение свойства org.apache.cxf.stax.allowInsecureParser не является вариантом, поскольку оно возвращает уязвимость DOS.

Чтобы заставить загрузчик классов предпочитать woodstox (ear/war lib) вместо webservices-rt.jar (j2ee lib), решение зависит от вашего сервера приложений и описано в Руководство по настройке конкретного сервера приложений CXF

У меня была эта проблема с weblogic, и я исправил ее, добавив ее в свой weblogic-application.xml.

<prefer-application-packages>
       <package-name>com.ctc.wstx.*</package-name>
</prefer-application-packages>

Проверьте любые другие версии woodstox, которые можно найти в пути к классам или в lib/endorsed jre или аналогичном. Похоже, можно использовать более старую версию 4.1.

У меня была такая же проблема, когда я обновил CXF до 2.7.x. Я решил это, добавив следующие зависимости в POM

<dependency>
    <groupId>org.codehaus.woodstox</groupId>
    <artifactId>stax2-api</artifactId>
    <version>4.0.0</version>
</dependency>
<dependency>
    <groupId>org.codehaus.woodstox</groupId>
    <artifactId>woodstox-core-asl</artifactId>
    <version>4.4.1</version>
</dependency>

Здесь не было ответа, описывающего основную причину этого сообщения об ошибке для моей проблемы. У нас были транзитивные зависимости как от новой версии woodstox-core-asl-4.2.0.jar, так и от старой версии wstx-asl-3.2.1.jar.

Исключение старой версии из нашей сборки помогло.

Если вы покопаетесь в недрах старой версии, вы обнаружите, что она дает сбой с исключением, которое в конечном итоге превращается в другое исключение с этим общим сообщением, которое не очень информативно.

Я столкнулся с этой проблемой, потому что при обновлении старой версии cxf я не изменил stax-api-*.jar на stax2-api-*.jar в пути к классам моего клиента.

При обновлении до 3.0.0 или более поздней версии вам не следует добавлять зависимости woodstock.

Проблема заключалась в том, что в развертывании веб-службы на сервере отсутствовали файлы JAR CXF. Это было сложно отладить, потому что на сервере не было ошибок.

В моем случае было две банки (Cxf 3.0.1, Jboss 7.1.1)

javax.xml.stream:stax-api:jar:1.0-2:компилировать

org.codehaus.woodstox:stax2-api:jar:3.1.4:компилировать

Я удалил 1-й, и он начал работать

с моей стороны, мне пришлось удалить как stax-api-1.0-2.jar (оставив банку stax2-api-3.1.4.jar & woodstock 4.4), так и указать в weblogic-application.xml в конце. :

     .
     .
     <package-name>com.ctc.wstx.*</package-name>  
     <package-name>org.codehaus.stax2.*</package-name>
 </prefer-application-packages>

У меня была эта проблема в weblogic, приложение успешно развернуто, но когда я запустил мыльный запрос, я получил эту ошибку: не удается создать безопасный XMLInputFactory.

исправил проблему, добавив этот пакет в weblogic-application.xml

com.ctc.wstx.*

Я просмотрел свои зависимости, чтобы найти конфликты версий с woodstox или stax-api.

Оказывается, эти конфликты возникли из-за того, что axis2-transport-http.

Если у вас также есть эта зависимость, добавьте следующее исключение в свою зависимость от pom, которая ее представила.

<exclusions>
            <exclusion>
                <groupId>org.apache.axis2</groupId>
                <artifactId>axis2-transport-http</artifactId>
            </exclusion>
        </exclusions>

Я могу решить эту проблему, добавив weblogic.xml в папку WEB-INF моего приложения со следующим кодом:

<prefer-web-inf-classes>false</prefer-web-inf-classes>

<prefer-application-packages>
    <package-name>com.ctc.*</package-name>
</prefer-application-packages>

Интересно, что у меня была эта проблема в контейнере докеров, а не при запуске на сервере tomcat.

Проблема, с которой я столкнулся, заключалась в том, что в проекте была другая более низкая версия wstx-asl-3.2.7, и загрузчик классов, вероятно, мог сначала загрузить эту версию. Избавился от него и посчитали нужный вудстокс и проблема решилась.

1: -Dorg.apache.cxf.stax.allowInsecureParser=1 в JAVA_OPTIONS
или
2: переименовать woodstox-core-asl-4.4.1.jar -> awoodstox-core-asl-4.4.1. банка