C#中处理XML实体(Entity)的解析问题 安全性与正确性考量

答案：在C#中处理XML时应禁用DTD和外部实体解析以防止XXE攻击，推荐使用XmlReaderSettings设置DtdProcessing.Prohibit并置XmlResolver为null，优先采用XmlReader安全加载XML，避免直接解析不可信输入。

在C#中处理XML时，实体解析是一个需要特别关注安全性和正确性的环节。默认情况下，.NET的XML解析器（如 XmlReader、XmlDocument 和 XDocument）可能会自动解析外部实体，这可能导致诸如XML外部实体（XXE, XML External Entity）攻击等安全问题。正确配置解析器以禁用危险功能，是保障系统安全的关键。

理解XML实体及其风险

XML实体用于定义可在文档中重复使用的片段，包括内置实体（如 ]> &xxe; ]]>

如果解析器启用了外部实体解析且未加限制，上述代码会将系统文件内容读取并嵌入XML中，造成信息泄露。

安全配置XML解析器

为防止XXE攻击，应始终以安全方式配置XML解析器。以下是推荐做法：

• 禁用DTD处理：大多数应用场景不需要DTD（文档类型定义），可直接关闭。使用 XmlReaderSettings 设置 DtdProcessing = DtdProcessing.Prohibit 或 Ignore。
• 禁止外部实体解析：确保 XmlReaderSettings 中的 XmlResolver 设为 null，或使用自定义安全解析器限制访问范围。
• 使用安全的解析模式：优先使用 XmlReader 而非 XmlDocument 或 XDocument.Load()，因其更容易控制解析行为。

示例：安全读取XML

无涯·问知

无涯·问知，是一款基于星环大模型底座，结合个人知识库、企业知识库、法律法规、财经等多种知识源的企业级垂直领域问答产品

153

查看详情

特殊情况下的实体处理

若业务确实需要处理内部实体（如模板替换），应确保不涉及用户输入，并手动控制解析逻辑。避免直接信任外部传入的XML内容。对于来自不可信源的数据，建议在预处理阶段剥离DOCTYPE声明，或使用白名单机制验证结构。

另外，.NET Core 和 .NET 5+ 默认已加强安全性，XmlReader 在默认设置下通常不会解析外部实体，但仍建议显式配置以确保兼容性和明确意图。

基本上就这些。关键是永远不要假设默认设置足够安全，尤其是在处理不受控的XML输入时。明确禁用DTD和外部解析，是防御XXE的基础措施。

以上就是C#中处理XML实体(Entity)的解析问题 安全性与正确性考量的详细内容，更多请关注php中文网其它相关文章！