XML、スキーマおよびXSLT標準では、外部リソースを必要とする次のコンストラクトがサポートされています。JDK XMLプロセッサのデフォルトの動作では、接続を作成し、指定された外部リソースをフェッチします。

• 外部DTD: 外部ドキュメント・タイプ定義(DTD)を参照します。たとえば:

  <!DOCTYPE root_element SYSTEM "url">

• 外部エンティティ参照: 外部データを参照します。次に構文を示します。

  <!ENTITY name SYSTEM "url">

• 一般エンティティ参照。たとえば:

  <?xml version="1.0" standalone="no" ?>
  <!DOCTYPE doc [<!ENTITY otherFile SYSTEM "otherFile.xml">]>
  <doc>
      <a>
          <b>&otherFile;</b>
      </a>
  </doc>

• 外部パラメータ・エンティティ: 次に構文を示します。

  <!ENTITY % name SYSTEM uri>

  次に、例を示します。

  <?xml version="1.0" standalone="no"?>
      <!DOCTYPE doc [
        <!ENTITY % ent1 SYSTEM "http://www.example.com/student.dtd">
        %ent1;
      ]>

• XInclude: XMLドキュメントに外部情報セットを含めます。たとえば:

  <Book xmlns:xi="http://www.w3.org/2001/XInclude">
      <xi:include href=toc.xml"/>
      <xi:include href=part1.xml"/>
      <xi:include href=part2.xml"/>
      <xi:include href=index.xml"/>
  </Book>

• schemaLocation属性とimport要素およびinclude要素を使用してXMLスキーマ・コンポーネントを参照します。たとえば:

  <xs:schema xmlns:xs="http://www.w3.org/2001/XMLSchema">
      <xs:include schemaLocation="http://www.example.com/schema/schema1.xsd"/>
      <!-- ... -->
  </xs:schema>

• importまたはinclude要素を使用したスタイル・シートの結合。次に構文を示します。

  <xsl:include href="include.xsl"/>

• xml-stylesheet処理命令: スタイルシートをXMLドキュメントに含めるために使用します。たとえば:

  <?xml-stylesheet href="include.xsl" type="text/xsl"?>

• XSLT document()関数: 外部XMLドキュメントのノードにアクセスするために使用します。たとえば:

  <xsl:variable name="dummy" select="document('DocumentFunc2.xml')"/>

アプリケーションのコードを変更したり、新しいアプリケーションを作成する場合は、JAXPファクトリまたはパーサーを通じてJAXPプロパティを設定することをお薦めします。これらのプロパティは、次のインタフェースを使用して設定します。

DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
dbf.setAttribute(name, value);
 
SAXParserFactory spf = SAXParserFactory.newInstance();
SAXParser parser = spf.newSAXParser();
parser.setProperty(name, value);

SchemaFactory schemaFactory = SchemaFactory.newInstance(schemaLanguage);
schemaFactory.setProperty(name, value);
 
TransformerFactory factory = TransformerFactory.newInstance();
factory.setAttribute(name, value);
 
XMLInputFactory xif = XMLInputFactory.newInstance();
xif.setProperty(name, value);

XPathFactory xf = XPathFactory.newInstance();
xf.setProperty(name, value);

次に、処理制限の設定例を示します。

dbf.setAttribute("http://www.oracle.com/xml/jaxp/properties/entityExpansionLimit", "2000");
dbf.setAttribute("http://www.oracle.com/xml/jaxp/properties/maxGeneralEntitySizeLimit", "100000");
dbf.setAttribute("http://www.oracle.com/xml/jaxp/properties/maxParameterEntitySizeLimit", "10000"); 
dbf.setAttribute("http://www.oracle.com/xml/jaxp/properties/maxElementDepth", "100");

factory.setAttribute("jdk.xml.xpathTotalOpLimit", "1000"); 
xf.setProperty("jdk.xml.xpathExprGrpLimit", "20");

次に、DOMパーサーを外部DTDのローカル接続のみに制限する例を示します。

dbf.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "file, jar:file");

アプリケーション内のパーサー・モジュールが信頼できないソースを処理する場合、さらにアクセスを制限できます。次のコードは、jaxp.propertiesファイルおよびシステム・プロパティによって指定されたコードをオーバーライドし、XMLプロセッサがローカル・ファイルのみを読み取れるようにします。

DocumentBuilderFactory dbf =
DocumentBuilderFactory.newInstance();   
dbf.setAttribute(XMLConstants.ACCESS_EXTERNAL_DTD, "file");
// ...   
SchemaFactory schemaFactory = SchemaFactory.newInstance(XMLConstants.W3C_XML_SCHEMA_NS_URI);   
schemaFactory.setProperty(XMLConstants.ACCESS_EXTERNAL_DTD, "file");   
schemaFactory.setProperty(XMLConstants.ACCESS_EXTERNAL_SCHEMA, "file");

「JAXPプロパティの設定のスコープおよび順序」で説明したように、JAXPファクトリを通じて指定されたJAXPプロパティは、最も狭いスコープを持ち、ファクトリによって作成されたプロセッサにのみ影響するため、デフォルト設定、システム・プロパティおよびjaxp.propertiesファイル内の設定をオーバーライドします。JAXPファクトリを使用してJAXPプロパティを設定すると、使用しているJDKリリースや、JAXPプロパティを他の手段で設定するかどうかに関係なく、アプリケーションの動作が同じようになります。

システム・プロパティは、アプリケーションのコードを変更できない場合に便利です。

JDKの起動全体に対してJAXPプロパティを設定するには、コマンド行で対応するシステム・プロパティを設定します。たとえば、アプリケーションMyAppで外部DTDおよびスキーマへのアクセスが必要な場合は、システム・プロパティjavax.xml.accessExternalDTDおよびjavax.xml.accessExternalSchemaを次のように設定します:

java -Djavax.xml.accessExternalDTD="file,http" -Djavax.xml.accessExternalSchema="file, http" MyApp

JAXPプロパティをアプリケーションの一部のみに設定するには、対応するシステム・プロパティをその部分の前に設定し、後でクリアします。たとえば、アプリケーションで外部DTDおよびスキーマへのアクセスが必要な場合、これらの行をアプリケーションの初期化コード・ブロックに追加します。

System.setProperty("javax.xml.accessExternalDTD", "file, http");
System.setProperty("javax.xml.accessExternalSchema", "file, http");

その後、アプリケーションでXMLドキュメントの処理を実行した後、またはアプリケーションを終了する前に、次のようにプロパティをクリアします。

System.clearProperty("javax.xml.accessExternalDTD");   
System.clearProperty("javax.xml.accessExternalSchema");

Javaチュートリアルの処理制限のサンプルからの次のコードは、処理制限maxGeneralEntitySizeLimitに対してこれを行う方法を示す別の例です。

public static final String SP_GENERAL_ENTITY_SIZE_LIMIT =
    "jdk.xml.maxGeneralEntitySizeLimit";

// Set limits using System property;
// this setting will affect all processing after it's set
System.setProperty(SP_GENERAL_ENTITY_SIZE_LIMIT, "2000");

// Perform some processing here

// After it is done, clear the property
System.clearProperty(SP_GENERAL_ENTITY_SIZE_LIMIT);

処理制限の値は整数であることに注意してください。処理制限の値が解析可能な整数でない場合はNumberFormatExceptionがスローされます。メソッドjava.lang.Integer.parseInt(String)を参照してください。

次の例では、アプリケーションの一部の外部スキーマを解決できます。

// Allow resolution of external schemas
// This setting will affect all processing after it's set
System.setProperty("javax.xml.accessExternalSchema", "file, http");

// Perform some processing here

// After it's done, clear the property
System.clearProperty("javax.xml.accessExternalSchema");

すべてのJDK呼出しに影響するJAXPプロパティを指定する場合は、<java-home>/conf/jaxp.propertiesという名前の構成ファイルを作成し、その中の各行にJAXPプロパティの名前と値のペアを1つずつ指定します。たとえば、次のjaxp.propertiesファイルでは、maxGeneralEntitySizeLimit処理制限プロパティを2000に設定し、stylesheet処理命令、document関数、およびimport要素とinclude要素によって設定される外部参照のファイルおよびHTTPプロトコルへのアクセスを制限します。

jdk.xml.maxGeneralEntitySizeLimit=2000
javax.xml.accessExternalStylesheet=file, http

XMLプロセッサによる外部接続を許可しない場合は、すべての外部アクセス・プロパティ(EAP)をfileのみに設定できます。

javax.xml.accessExternalDTD=file
javax.xml.accessExternalSchema=file
javax.xml.accessExternalStylesheet=file

アプリケーションがXMLプロセッサを通じて外部ファイルを誤って読み取ることを防ぐには、jaxp.propertiesファイルで次のようにEAPを設定します。

javax.xml.accessExternalDTD=""   
javax.xml.accessExternalSchema=""   
javax.xml.accessExternalStylesheet=""

JAXPプロパティは、APIメソッド、システム・プロパティ、JAXP構成ファイルなど、複数の方法で設定できます。明示的に設定しない場合、FEATURE_SECURE_PROCESSING (FSP)を有効にすると、デフォルト値またはより制限された値で初期化されます。プロパティの優先順位は、高い順に次のとおりです:

• ファクトリまたはプロセッサ用のAPI
• システム・プロパティ
• JAXP構成ファイル<java_home>/conf/jaxp.properties
• JAXPプロパティのデフォルト値。FSPがtrueの場合、デフォルト値はXMLを安全に処理するように設定されます

次に、CatalogFeaturesクラスのRESOLVEプロパティを例として使用して、これらのルールの適用方法を示します:

• ファクトリまたはプロセッサAPIで指定されたプロパティの優先順位が最も高くなります。次のコードは、他の構成ソースの設定に関係なく、RESOLVEプロパティを効果的にstrictに設定します。

  DocumentBuilderFactory dbf = DocumentBuilderFactory.newInstance();
  dbf.setAttribute(CatalogFeatures.Feature.RESOLVE.getPropertyName(), "strict");

• プロパティが前の例のようにファクトリによって設定されていない場合は、システム・プロパティ設定が有効になります。次のコマンドラインの例は、アプリケーションmyAppのRESOLVEプロパティをcontinueに設定します。

  java -Djavax.xml.catalog.resolve=continue myApp

• プロパティがファクトリによって、またはシステム・プロパティで設定されていない場合は、JAXP構成ファイル<java_home>/conf/jaxp.propertiesの設定が有効になります。次のエントリは、RESOLVEプロパティをcontinueに設定します。

  javax.xml.catalog.resolve=continue

• RESOLVEプロパティの値がどこにも設定されていない場合、デフォルト値のstrictに解決されます。

Java XML APIでは、JDK XMLプロセッサに登録して外部リソースを解決できる様々なリゾルバがサポートされます。これらのリゾルバには、SAXおよびDOMパーサー用のエンティティ・リゾルバ、StAXパーサー用のXMLリゾルバ、検証用のLSResourceResolverおよび変換用のURIResolverが含まれます。

XML Catalog APIでは、Organization for the Advancement of Structured Information Standards (OASIS) XMLカタログ、OASIS標準V1.1がサポートされます。このAPIは、JDK XMLプロセッサによって完全に実装されており、使用が簡単です。Java Platform, Standard Edition Javaコア・ライブラリ開発者ガイドのXMLカタログAPIを参照してください。

XMLカタログAPIを使用して、外部リソースをCatalogResolverインタフェースで解決し、JDK XMLプロセッサ上でカタログを有効化します。