利用外部实体功能来读取服务器本地文件、探测内网服务或发起拒绝服务攻击，甚至实现远程代码执行等

禁用外部实体：开发人员应始终对XML数据保持警惕，尤其是在处理用户可控内容时。 严格过滤输入：对用户可控的XML输入进行严格的过滤，防止恶意实体的插入。 更新依赖库：及时更新和修补已知的漏洞，特别是那些使用旧版XML解析器的库。