HP fortify XML 外部实体注入答案

【问题标题】：HP fortify XML External Entity InjectionHP fortify XML 外部实体注入
【发布时间】：2017-06-26 18:47:52
【问题描述】：

Hp fortify 在下面的代码中向我展示了一个 XML 外部实体注入：

StringBuilder sb = new StringBuilder();
StringWriter stringWriter = new StringWriter(sb);
xmlSerializer.Serialize(stringWriter, o);
XmlDocument xmlDoc = new XmlDocument();
xmlDoc.LoadXml(stringWriter.ToString());  //bad code
result = xmlDoc.ChildNodes[1].OuterXml;

在上面它显示了以下行中的漏洞xmlDoc.LoadXml(stringWriter.ToString());

我该如何解决这种情况？

【问题讨论】：

标签： c# xml c#-4.0 fortify xxe

【解决方案1】：

XmlDocument 对象中有一个 XmlResolver 对象，在 4.5.2 之前的版本中需要将其设置为 null。在 4.5.2 及更高版本中，此 XmlResolver 默认设置为 null。

【讨论】：

【解决方案2】：

使用 xmlDoc.XmlResolver = null;在加载 xml 之前。

【讨论】：