XElement.Parse && XDocument.Parse 在 C# 中容易受到 XML 注入

如何解决XElement.Parse && XDocument.Parse 在 C# 中容易受到 XML 注入

下面的代码被 fortify 检测为 XML 注入。请有人帮我解决这个问题。

LockUserXml(string xml)
{
   var doc = XDocument.Parse(xml);
   ..
   ..
}

LocalUserXml(XmlElement root,ExportXmlParameter param)
{
   XElement rootElement = XElement.Parse(root.OuterXml);
   ..
   ..
   ..
}

解决方法

来自Microsoft doc：

如何解决 XML 违规问题

• 不要编写原始 XML。相反，请使用对其输入进行 XML 编码的方法或属性。

• 或者，在编写原始 XML 之前对输入进行 XML 编码。

• 或者，通过对原始类型使用消毒剂来验证用户输入 转换和 XML 编码

您可以做的是使用 Load 而不是 Parse 并配置阅读器设置（参见 XmlReaderSettings），如下所示：

LockUserXml(string xml)
{
   var xmlReader = XmlReader.Create(new StringReader(xml),new XmlReaderSettings() { XmlResolver = null });
   var doc = XDocument.Load(xmlReader);
   ..
   ..
}

另见How to prevent XXE attack ( XmlDocument in .net)