c# - 如何修复 C# 中 XPathDocument 使用中的 XXE 漏洞？

Question

Fortify 显示以下 C# 代码存在 XXE 漏洞：

XPathDocument doc = new XPathDocument(filePath);

请帮助我如何解决这个问题

Answer 1

来自OWASP Cheat Sheets on XXE的摘录：

System.Xml.XPath.XPathNavigator在 4.5.2 之前的 .NET Framework 版本中，默认情况下是不安全的。

XmlReader reader = XmlReader.Create("example.xml");
XPathDocument doc = new XPathDocument(reader);
XPathNavigator nav = doc.CreateNavigator();
string xml = nav.InnerXml.ToString();