XDocument.Parse: Избегайте замены ссылок на XXE

Question

Я пытаюсь защитить от вредоносных инъекций XXE в XML-файлах, обработанных моим приложением. Поэтому я использую XDocument вместо XmlDocument.

XML представляет полезную нагрузку веб-запроса, поэтому я вызываю XDocument.Parse на его строковое содержимое. Тем не менее, я вижу ссылки XXE, содержащиеся в XML (& XXE), которые заменяются в результате фактическим значением ENTITY xxe.

Возможно ли разобрать XML с помощью XDocument без замены & xxe?

Благодаря

EDIT: мне удалось избежать замены xxes в XML с использованием XmlResolver=null для XDocument.Load

Answer 1

Вместо Parse попробовать использовать Load с предварительно настроенным читателем:

var xdoc = XDocument.Load(new XmlTextReader(
    new StringReader(xmlContent)) { EntityHandling = EntityHandling.ExpandCharEntities }); 

От MSDN:

Когда EntityHandling установлен в ExpandCharEntities, читатель расширяет символьные сущности и возвращает общие сущности в качестве узлов EntityReference.