XXE Prevention 是 OWASP A04 类别的安全技能，用于防范 XML 外部实体（XXE）攻击。适用场景包括解析用户提供的 XML、处理 SOAP/WSDL 服务、处理 SVG 文件上传、处理 Office 文档（DOCX、XLSX）、实现基于 XML 的 API、处理 RSS/Atom 订阅源。
主要能力：识别 File Disclosure、SSRF、DoS（Billion Laughs）、端口扫描与罕见配置下的远程代码执行等攻击类型；给出 Node.js、Python、Java、PHP、.NET/C# 各语言中易受攻击的默认解析器写法与安全替代方案；提供 SVG 上传净化与 Office 文档校验方法，以及代码审查清单。
必要用法：Python 可使用 defusedxml.ElementTree；lxml 需设置 resolve_entities=False、no_network=True 等；Java 需禁用 DTD、外部实体与实体展开；PHP 使用 LIBXML_NOENT | LIBXML_NONET；.NET 设置 DtdProcessing.Prohibit 与 XmlResolver 为 null。测试可用 curl 发送含 DOCTYPE 实体引用的载荷，或使用 Burp Suite、OWASP ZAP 扫描。
限制或缺失：资料未提供官方安装命令、具体版本要求、授权方式或收费信息。