禁用DTD和外部实体解析可有效防范XXE攻击。通过配置XmlReaderSettings，设置DtdProcessing.Prohibit、XmlResolver为null及ProhibitDtd=true，确保在.NET各版本中安全解析XML，避免使用XmlTextReader等不安全API。
在C#中安全地解析XML防止XXE（XML External Entity）攻击，关键在于禁用外部实体和DTD处理。默认情况下，某些XML解析器可能会自动解析外部引用，这会带来严重的安全风险，比如文件读取、SSRF等。以下是几种有效防范XXE攻击的方法。
禁用DTD和外部实体解析
使用 XmlReader 并配置其 XmlReaderSettings 是推荐的安全做法。通过关闭DTD处理、禁止外部实体和URL解析，可以有效阻止XXE攻击。
- 设置 ProhibitDtd = true 禁用DTD处理（.NET Framework 4.0+）
- 设置 DtdProcessing = DtdProcessing.Prohibit 明确拒绝DTD解析
- 设置 XmlResolver = null 阻止外部资源加载
示例代码：
var settings = new XmlReaderSettings();
settings.DtdProcessing = DtdProcessing.Prohibit;
settings.XmlResolver = null;
settings.ProhibitDtd = true; // 在某些版本中仍需设置
using (var reader = XmlReader.Create(new StringReader(xmlData), settings))
{
var doc = new XmlDocument();
doc.Load(reader);
}
使用 XmlDocument 时确保配置安全
直接使用 XmlDocument.Load 或 .LoadXml 而不通过安全的 XmlReader，可能导致XXE漏洞。务必通过受控的 XmlReader 加载数据。
- 不要直接调用 XmlDocument.Load(string filePath) 处理不可信输入
- 始终配合安全的 XmlReader 使用 doc.Load(reader)
正确示例：
var settings = new XmlReaderSettings();
settings.DtdProcessing = DtdProcessing.Prohibit;
settings.XmlResolver = null;
using (var reader = XmlReader.Create(stream, settings))
{
var doc = new XmlDocument();
doc.Load(reader); // 安全加载
}
针对 .NET 版本差异的处理
不同 .NET 框架版本对 DTD 的默认行为不同。例如：
- .NET Framework 4.0 默认允许 DTD，必须手动禁用
- .NET 5+ 和 .NET Core 默认 ProhibitDtd = true，但仍建议显式设置
- 保持代码一致性，无论运行环境如何，都应主动配置安全选项
避免使用易受攻击的 API
以下方法容易导致XXE，应避免用于不可信输入：
- XmlTextReader：已过时，不易控制安全设置
- 未配置 XmlReaderSettings 的解析方式
- 自定义 XmlResolver 且未验证来源
坚持使用配置严格的 XmlReader + XmlDocument 组合是最稳妥的选择。
基本上就这些。只要确保 DTD 被禁止、外部资源无法加载，就能有效防御XXE攻击。安全解析XML不复杂，但细节不能忽略。
