Asp.net 如何防止 XXE 攻击(.NET 中的 XmlDocument)

我们对代码进行了安全审计，他们提到我们的代码容易受到外部实体(XXE)攻击.我使用以下代码-

string OurOutputXMLString=
"<ce><input><transaction><length>00000</length><tran_type>Login</tran_type></transaction><user><user_id>ce_userid</user_id><subscriber_name>ce_subscribername</subscriber_name><subscriber_id>ce_subscriberid</subscriber_id><group_id>ce_groupid</group_id><permissions></permissions></user><consumer><login_details><username>UnitTester9</username><password>pDhE5AsKBHw85Sqgg6qdKQ==</password><pin>tOlkiae9epM=</pin></login_details></consumer></input></ce>"

 XmlDocument xmlDoc = new XmlDocument();
 xmlDoc.LoadXml(OurOutputXMLString);

在审计报告中，他们说它失败了，因为XML实体可以包含可以在预期控制之外解析的URL.XML实体解析器将try 解析和检索外部引用.如果攻击者控制的XML可以提交给这些函数之一，则攻击者可以访问有关内部网络、本地文件系统或其他敏感数据的信息. 为了避免这种情况，我编写了以下代码，但它不起作用.

MemoryStream stream =
    new MemoryStream(System.Text.Encoding.Default.GetBytes(OurOutputXMLString));

XmlReaderSettings settings = new XmlReaderSettings();

settings.DtdProcessing = DtdProcessing.Prohibit;
settings.MaxCharactersFromEntities = 6000;
XmlReader reader = XmlReader.Create(stream, settings);
XmlDocument xmlDoc = new XmlDocument();
xmlDoc.Load(reader);

但我可以在这里看到，reader没有任何值可以加载到xmlDoc(XmlDocument)中.