XmlReader-Klasse

Beachten Sie beim Arbeiten mit der XmlReader-Klasse folgende Punkte:

• Vom XmlReader ausgelöste Ausnahmen können Pfadinformationen offen legen, die in der Anwendung nicht weitergegeben werden sollen. Die Anwendungen müssen Ausnahmen abfangen und entsprechend verarbeiten.

• Aktivieren Sie die DTD-Verarbeitung nur, wenn Sie keine Bedenken hinsichtlich der Gefahr von Denial-of-Service-Angriffen haben oder vertrauenswürdige Quellen verwenden. Die DTD-Verarbeitung ist standardmäßig für von der Create-Methode erstellte XmlReader-Objekte deaktiviert.

  Bei aktivierter DTD-Verarbeitung können Sie mithilfe des XmlSecureResolver die Ressourcen beschränken, auf die der XmlReader zugreifen kann. Sie können die Anwendung auch so entwerfen, dass die XML-Verarbeitung bezüglich Arbeitsspeicher und Zeit eingeschränkt wird. Konfigurieren Sie z. B. Timeoutbeschränkungen in der ASP.NET-Anwendung.

• XML-Daten können Verweise auf externe Ressourcen, z. B. eine Schemadatei, einschließen. Externe Ressourcen werden standardmäßig mit einem XmlUrlResolver-Objekt ohne Benutzeranmeldeinformationen aufgelöst. Durch die folgenden Aktionen können Sie die Sicherheit weiter erhöhen:

  • Beschränken Sie die Ressourcen, auf die der XmlReader zugreifen kann, indem Sie die XmlReaderSettings.XmlResolver-Eigenschaft auf ein XmlSecureResolver-Objekt festlegen.

  • Lassen Sie nicht zu, dass der XmlReader durch Festlegen der XmlReaderSettings.XmlResolver-Eigenschaft auf null beliebige externe Ressourcen öffnen kann.

• XML-Daten können eine große Anzahl von Attributen, Namespacedeklarationen, geschachtelten Elementen usw. enthalten, deren Verarbeitung eine gewisse Zeit in Anspruch nehmen kann. Um die Größe der Eingabe zu begrenzen, die an den XmlReader gesendet wird, erstellen Sie eine benutzerdefinierte IStream-Implementierung, die Sie dem XmlReader bereitstellen.

• Die ReadValueChunk-Methode kann verwendet werden, um große Datenstreams zu behandeln. Mit dieser Methode wird immer nur eine geringe Anzahl von Zeichen gelesen, statt eine einzige Zeichenfolge für den gesamten Wert zu reservieren.

• Beim Lesen eines XML-Dokuments mit einer großen Anzahl von eindeutigen lokalen Namen, Namespaces oder Präfixen kann ein Problem auftreten. Wenn Sie eine von XmlReader abgeleitete Klasse verwenden und für jedes Element die Eigenschaft LocalName, Prefix oder NamespaceURI aufrufen, wird die zurückgegebene Zeichenfolge einer NameTable hinzugefügt. Die Größe der in der NameTable gespeicherten Auflistung nimmt nie ab, sodass ein virtueller Speicherverlust an Zeichenfolgenhandles eintritt. Eine mögliche Gegenmaßnahme ist, von der NameTable-Klasse abzuleiten und ein Höchstgrößenkontingent zu erzwingen. (Die Verwendung einer NameTable lässt sich nicht umgehen, und der Austausch einer vollen NameTable ist nicht möglich.) Eine weitere Gegenmaßnahme besteht darin, nach Möglichkeit anstelle der genannten Eigenschaften die MoveToAttribute-Methode mit der IsStartElement-Methode zu verwenden. Diese Methoden geben keine Zeichenfolgen zurück und umgehen somit das Problem eines Überlaufs der NameTable-Auflistung.