Question

在大多数情况下，部署至Flowable引擎的BPMN 2.0流程处在开发团队等的严格控制下。然而，有的时候会希望能够向引擎上传任意的BPMN 2.0 XML。在这种情况下，需要考虑动机不良的用户可能会像这里描述的一样，破坏服务器。

要避免上面链接中描述的攻击，可以在流程引擎配置中设置enableSafeBpmnXml参数：

<property name="enableSafeBpmnXml" value="true"/>

默认情况下这个功能是禁用的！原因是它依赖StaxSource类。而不幸的是，某些平台（JDK6，JBoss等）不能使用这个类（由于使用的是过时的XML解析器），因此不能启用安全BPMN 2.0 XML功能。

如果运行Flowable的平台支持，请一定要启用这个功能。