C#怎么安全地解析XML防止XXE攻击_C#安全解析XML防止XXE攻击方法-XML/RSS教程-PHP中文网

C#怎么安全地解析XML防止XXE攻击_C#安全解析XML防止XXE攻击方法

星降

发布： 2025-11-02 20:13:02

原创

669人浏览过

禁用DTD和外部实体解析可有效防范XXE攻击。通过配置XmlReaderSettings，设置DtdProcessing.Prohibit、XmlResolver为null及ProhibitDtd=true，确保在.NET各版本中安全解析XML，避免使用XmlTextReader等不安全API。

c#怎么安全地解析xml防止xxe攻击_c#安全解析xml防止xxe攻击方法

在C#中安全地解析XML防止XXE（XML External Entity）攻击，关键在于禁用外部实体和DTD处理。默认情况下，某些XML解析器可能会自动解析外部引用，这会带来严重的安全风险，比如文件读取、SSRF等。以下是几种有效防范XXE攻击的方法。

禁用DTD和外部实体解析

使用 XmlReader 并配置其 XmlReaderSettings 是推荐的安全做法。通过关闭DTD处理、禁止外部实体和URL解析，可以有效阻止XXE攻击。

设置 ProhibitDtd = true 禁用DTD处理（.NET Framework 4.0+）
设置 DtdProcessing = DtdProcessing.Prohibit 明确拒绝DTD解析
设置 XmlResolver = null 阻止外部资源加载

示例代码：

var settings = new XmlReaderSettings();
settings.DtdProcessing = DtdProcessing.Prohibit;
settings.XmlResolver = null;
settings.ProhibitDtd = true; // 在某些版本中仍需设置

using (var reader = XmlReader.Create(new StringReader(xmlData), settings))
{
    var doc = new XmlDocument();
    doc.Load(reader);
}

登录后复制

使用 XmlDocument 时确保配置安全

直接使用 XmlDocument.Load 或 .LoadXml 而不通过安全的 XmlReader，可能导致XXE漏洞。务必通过受控的 XmlReader 加载数据。

不要直接调用 XmlDocument.Load(string filePath) 处理不可信输入
始终配合安全的 XmlReader 使用 doc.Load(reader)

正确示例：

智谱清言 - 免费全能的AI助手

查看详情

var settings = new XmlReaderSettings();
settings.DtdProcessing = DtdProcessing.Prohibit;
settings.XmlResolver = null;

using (var reader = XmlReader.Create(stream, settings))
{
    var doc = new XmlDocument();
    doc.Load(reader); // 安全加载
}

登录后复制