如何配置XML解析器以禁用C#中的外部实体解析

Question

var xDoc = XDocument.Load(fileName);

我在一个函数中使用上面的代码来加载一个XML文件。功能方面，它的工作良好，但它是显示以下Veracode缺陷后Veracode检查。

将XML解析器配置为禁用外部实体解析。

我需要做什么来解决它。

Answer 1

如果在XML中没有使用外部实体引用，可以通过将解析器设置为null来禁用解析器，参见如何防止XXE攻击（.NET中的XmlDocument）

XmlDocument xmlDoc = new XmlDocument();
xmlDoc.XmlResolver = null;
xmlDoc.LoadXml(OurOutputXMLString);

如果您希望文档包含实体引用，那么您将需要创建一个自定义解析器，并将所期望的内容白列出来。尤其是对您无法控制的网站的任何引用。