XXE 外部实体注入防御实战：从原理到防护配置 2026年8月25日 作者 卫方智能 XXE 外部实体注入攻击可读取服务器任意文件、发起 SSRF 甚至执行远程命令。本文从 DTD 外部实体原理讲起，覆盖 Java、Python、PHP 三类语言的禁用配置与 Nginx WAF 拦截规则，附验证用例。