Classe XmlReader (System.Xml)

Quando si utilizza la classe XmlReader, è opportuno tenere in considerazione gli elementi riportati di seguito.

• Le eccezioni generate dalla classe XmlReader possono rivelare informazioni sui percorsi che è preferibile non propagare all'applicazione. Le applicazioni devono intercettare le eccezioni ed elaborarle in modo appropriato.

• Non attivare l'elaborazione DTD se si desidera evitare problemi di "Denial of Service" oppure se si utilizzano fonti non attendibili. L'elaborazione DTD viene disattivata per impostazione predefinita per gli oggetti XmlReader creati dal metodo Create.

  Se è attivata l'elaborazione DTD, è possibile utilizzare il metodo XmlSecureResolver per limitare il numero delle risorse a cui la classe XmlReader può accedere. È anche possibile progettare l'applicazione in modo da specificare vincoli di memoria e di tempo per l'elaborazione XML. Configurare, ad esempio, limiti di timeout nell'applicazione ASP.NET.

• I dati XML possono includere riferimenti a risorse esterne come file di schema. Per impostazione predefinita, le risorse esterne vengono risolte utilizzando un oggetto XmlUrlResolver senza credenziali utente. È possibile migliorare i livelli di protezione mediante una delle seguenti operazioni:

  • Limitando le risorse a cui la classe XmlReader può accedere impostando la proprietà XmlReaderSettings.XmlResolver su un oggetto XmlSecureResolver.

  • Non consentendo alla classe XmlReader di aprire risorse esterne impostando la proprietà XmlReaderSettings.XmlResolver su riferimento null (Nothing in Visual Basic).

• I dati XML possono contenere un grande numero di attributi, dichiarazioni di spazi dei nomi, elementi nidificati e altri elementi la cui elaborazione richiede una notevole quantità di tempo. Per limitare le dimensioni dell'input inviato alla classe XmlReader, creare un'implementazione personalizzata di IStream e fornirla alla classe XmlReader.

• Il metodo ReadValueChunk può essere utilizzato per gestire flussi di dati di grandi dimensioni. Questo metodo legge un numero limitato di caratteri alla volta invece di allocare una singola stringa per l'intero valore.

• Quando viene letto un documento XML con un numero elevato di nomi univoci locali, spazi dei nomi o prefissi, può verificarsi un problema. Se si utilizza una classe che deriva da XmlReader e si chiama la proprietà LocalName, Prefix o NamespaceUri per ciascun elemento, la stringa restituita viene aggiunta alla classe NameTable. Le dimensioni dell'insieme contenuto nella classe NameTable non diminuiscono mai, creando una "perdita di memoria" virtuale degli handle di stringa. Questo problema può essere limitato derivando dalla classe NameTable e stabilendo una dimensione massima. Non è possibile impedire l'utilizzo della classe NameTable o il passaggio alla classe NameTable quando la memoria è piena. Un altro metodo per limitare il problema consiste nell'evitare di utilizzare le proprietà citate e impiegare invece il metodo MoveToAttribute con il metodo IsStartElement quando possibile; questi metodi non restituiscono stringhe e non provocano quindi problemi di superamento della capacità dell'insieme NameTable.