Предотвращение загрузки DTD при разборе XML

Используйте XMLReader для загрузки документа и установите для свойства ValidationType в настройках устройства чтения значение None.

Попробуйте что-то вроде этого:

XmlDocument doc = new XmlDocument();
using (StringReader sr = new StringReader(xml))
  using (XmlReader reader = XmlReader.Create(sr, new XmlReaderSettings()))
  {
     doc.Load(reader);
  }

Здесь следует отметить, что в XmlReaderSettings для свойства ProhibitDtd по умолчанию установлено значение true.

Загружаемый документ ИМЕЕТ ОТД.

С:

settings.ProhibitDtd = true;

Я вижу следующее исключение:

Service cannot be started. System.Xml.XmlException: For security reasons DTD is prohibited in this XML document. To enable DTD processing set the ProhibitDtd property on XmlReaderSettings to false and pass the settings into XmlReader.Create method.

Таким образом, похоже, что в этом случае для параметра ProhibitDtd ДОЛЖНО быть установлено значение true.

Похоже, ValidationType сработает, но с:

settings.ValidationType = ValidationType.None;

Я все еще вижу связь с URI DTD.

После некоторого рытья, возможно, вам следует установить для свойства XmlResolver объекта XmlReaderSettings значение null.

'The XmlResolver is used to locate and open an XML instance document, or to locate and open any external resources referenced by the XML instance document. This can include entities, DTD, or schemas.'

Итак, код будет выглядеть так:

        XmlReaderSettings settings = new XmlReaderSettings();
        settings.XmlResolver = null;
        settings.DtdProcessing = DtdProcessing.Parse;
        XmlDocument doc = new XmlDocument();
        using (StringReader sr = new StringReader(xml))
            using (XmlReader reader = XmlReader.Create(sr, settings))
            {
                doc.Load(reader);
            }

На самом деле это недостаток спецификаций XML. W3C сетует на то, что все люди, как сумасшедшие, бьют по своим серверам, загружая схемы миллиарды раз. К сожалению, почти ни одна стандартная библиотека XML не понимает этого правильно, все они снова и снова попадают на серверы.

Проблема с DTD особенно серьезна, потому что DTD могут включать общие объявления сущностей (для таких вещей, как & -> &), на которые фактически может полагаться XML-файл. Так что, если ваш синтаксический анализатор предпочитает отказаться от загрузки DTD, а XML использует общие ссылки на сущности, синтаксический анализ может действительно потерпеть неудачу.

Единственным решением этой проблемы был бы прозрачный кэширующий преобразователь сущностей, который помещал бы загруженные файлы в некоторый архив в пути поиска библиотеки, так что этот архив будет динамически создаваться и почти автоматически объединяться с любыми созданными дистрибутивами программного обеспечения. Но даже в мире Java нет ни одного достойного такого EntityResolver, который бы не был встроен ни в что, начиная с Apache Foundation.