C#如何安全地解析XML以防止XXE注入

月夜之吻 2025-12-26 00:00:00 次阅读

默认XmlDocument和XmlReader触发XXE因.NET默认启用DTD解析，需同时设DtdProcessing.Prohibit和XmlResolver=null；XmlSerializer也需用加固XmlReader；还需限制MaxDepth、MaxCharactersInDocument等防DoS。

为什么默认的 `XmlDocument` 和 `XmlReader` 会触发XXE

因为 .NET 默认启用 DTD 解析（XmlResolver 非空），当 XML 包含 ]> 这类声明时，XmlDocument.Load() 或 XmlReader.Create() 会尝试解析并加载外部实体，导致文件读取、网络请求甚至 SSRF。

禁用 DTD 解析的两种可靠方式

核心是让解析器完全忽略 DOCTYPE 声明，不执行任何外部实体解析。推荐以下任一做法：

使用 XmlReaderSettings 显式关闭：

var settings = new XmlReaderSettings
{
    DtdProcessing = DtdProcessing.Prohibit, // 关键：禁止 DTD 处理
    XmlResolver = null                      // 关键：移除解析器
};
using var reader = XmlReader.Create(stream, settings);
var doc = new XmlDocument();
doc.Load(reader);

对 XmlDocument 直接设置：
```
var doc = new XmlDocument();
doc.XmlResolver = null; // 必须在 Load 前设置
doc.Load(xmlStream);
```
注意：此方式仅在 .NET Framework 4.5.2+ 和 .NET Core 2.0+ 有效；旧版需配合 ProhibitDtd = true（但该属性已过时）

别踩 `XmlSerializer` 的坑

XmlSerializer 默认不解析 DTD，看似安全，但它会隐式使用 XmlReader，若你传入的是未加固的 XmlReader 实例，风险仍在。安全做法是始终用加固后的 XmlReader 构造：

var settings = new XmlReaderSettings { DtdProcessing = DtdProcessing.Prohibit, XmlResolver = null };
using var reader = XmlReader.Create(stream, settings);
var serializer = new XmlSerializer(typeof(MyClass));
var obj = serializer.Deserialize(reader);

不要直接传 stream 给 Deserialize() —— 它会内部创建不设防的 reader。