はじめに

XML は長年、多くのシステムで設定ファイル・通信フォーマット・ドキュメント構造化などに利用され続けてきました。しかし XML Parsing（XML 解析）は単なるデータ処理に留まらず、設定次第で重大なセキュリティリスク（XXE）を生む という二面性を持っています。

この記事では次の内容をまとめて解説します：

XML Parsing の基本と内部処理
代表的な XML パーサー（DOM / SAX / StAX / XPath）の特徴
どこで XXE（XML External Entity）脆弱性が発生するのか
安全に XML を扱うための設定例

1. XML Parsing とは？

XML Parsing（XML 解析）とは：

XML ファイルを読み取り、プログラムが扱える内部構造に変換するプロセス

のことです。

通常、以下のような処理が自動的に行われます：

XML タグをノード（要素・属性・テキスト）に分解
必要に応じて DTD や XML Schema に従って検証（validation）
DOM ツリーやストリーミング構造に変換してプログラムから操作可能にする

XML パーサーは見た目より複雑で、構成によっては内部ファイルへアクセス可能な“危険な機能”も含む ため注意が必要です。

2. XXE（XML External Entity）が発生する理由

XXE とは、XML 内で定義された外部エンティティ（SYSTEM エンティティ）が悪用される攻撃です。

例：

<!DOCTYPE root [
  <!ENTITY secret SYSTEM "file:///etc/passwd">
]>
<root>&secret;</root>

外部エンティティが有効な状態だと、パーサーは
&secret; → /etc/passwd の内容
へ置き換えてしまいます。

つまり：

パーサーが 外部エンティティ読み込みを許可 していて
XML を 攻撃者が送信できる仕組みがある

この 2 条件が揃うと XXE は発生します。

3. 代表的な XML パーサーと特徴（＋XXE 視点）

ここでは、DOM / SAX / StAX / XPath の 4 種類を比較します。

DOM Parser（Document Object Model）

特徴

XML 文書全体を メモリ上に完全再構築（ツリー構造）
ランダムアクセスが自由で扱いやすい
中〜小規模 XML に適している

デメリット

メモリ消費が大きい
巨大 XML には不向き

XXE リスク

高い
→ DTD を解釈しやすく、外部エンティティが読み込まれやすい。

安全化設定（Java DOMParser）

factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);

SAX Parser（Simple API for XML）

特徴

イベントドリブン方式（逐次的に処理）
メモリ効率が非常に良い
大規模 XML に強い

デメリット

ランダムアクセス不可
状態管理がやや複雑

XXE リスク

中程度
→ DTD を読み込む設定であれば XXE が入りやすい。

安全化設定

factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);

StAX Parser（Streaming API for XML）

特徴

SAX と同じストリーミング方式だが、処理タイミングをアプリ側が制御しやすい
柔軟性と効率のバランスが良い
多くのフレームワークで利用されている

XXE リスク

低〜中
→ StAX は外部エンティティ無効化が容易で、より安全。

安全化設定

XMLInputFactory factory = XMLInputFactory.newFactory();
factory.setProperty(XMLInputFactory.IS_SUPPORTING_EXTERNAL_ENTITIES, false);
factory.setProperty(XMLInputFactory.SUPPORT_DTD, false);

XPath Parser

特徴

XML を SQL の WHERE のように問い合わせる技術
DOM または SAX を基盤として動く
XSLT や構造検索に利用される

XXE リスク

パーサーの設定次第
XPath 自体が脆弱になるのではなく、
XPath 処理の前段に使われる DOM/SAX の設定が甘いと脆弱になる。

4. パーサー比較表（実務で迷わないためのまとめ）

パーサー	メモリ効率	柔軟性	XXE リスク	主な用途
DOM	低い	高い	高い	XML 全体を自由に操作したい場合
SAX	非常に高い	低い	中	巨大 XML / ストリーム処理
StAX	高い	中	低〜中	SAX より柔軟なストリーム処理
XPath	DOM 次第	高い	DOM に依存	クエリ検索・XSLT

5. XML を安全に扱うための要点（XXE 防止）

XXE を防止するための鉄則は以下のとおり：

DOCTYPE を禁止する
外部エンティティ（SYSTEM, PUBLIC）を無効化
DTD の読み込みを禁止
ライブラリ・フレームワークの既定値を信用しない

ほとんどの XXE 脆弱性は「パーサー設定がデフォルトのまま」から生まれます。

まとめ — XML Parsing の本質は「設定」にある

XML Parsing は便利ですが、設定を誤ると簡単に内部ファイル漏洩・SSRF・ネットワークスキャンまでつながる脆弱性を生みます。

逆に言えば：

正しいパーサー設定を行えば、XXE は完全に防止できる。

DOM / SAX / StAX のどれを選んでも安全に扱えます。
重要なのは「何を使うか」ではなく「どう設定するか」。