ASP.NET Core 中用 IFormFile 接收 XML 文件需直接读取流并用 XDocument.Load 或 XmlReader 安全解析，禁用 DTD 和外部实体以防 XXE，校验 ContentType 并处理 BOM 与编码声明。
ASP.NET Core 中用 IFormFile 接收 XML 文件上传
XML 文件本质是文本，只要前端按普通文件上传，后端就能拿到原始字节流。关键不是“XML 特殊”，而是别把它当二进制乱解析——尤其别用 StreamReader 默认编码读取，容易因 BOM 或声明里的 encoding 属性出错。
实操建议：
- 控制器方法参数直接接收
IFormFile，不要依赖模型绑定自动转成字符串或对象 - 用
file.OpenReadStream()获取流，再交给XDocument.Load()或XmlSerializer解析，它们会自动识别编码声明（如） - 若需先保存再处理，用
file.CopyToAsync()写入临时文件，路径别硬写C:\temp，改用Path.GetTempFileName() - 务必校验
file.ContentType是否为text/xml或application/xml，但不能仅靠它拦截——MIME 类型可被伪造
ASP.NET Framework（.NET 4.x）中用 Request.Files 读取 XML
老版本没有 IFormFile，得从 Request.Files[0] 拿 HttpPostedFileBase。它暴露的是原始流，但注意：如果启用了 requestValidationMode="4.5"，含尖括号的 XML 可能触发 HttpRequestValidationException。
实操建议：
- 在对应 Action 上加
[ValidateInput(false)]，否则带 - 用
file.InputStream构造XmlReader.Create()，别用file.FileName去磁盘找文件——它只是客户端传来的名字，不保证存在 - 若 XML 很大（>1MB），避免一次性
ReadToEnd()转字符串，改用流式解析（XmlReader.Read()循环）防内存溢出 -
file.ContentLength是字节数，不是字符数；检查是否为 0 再读流，否则XmlDocument.Load()会抛XmlException
解析时遇到 “Data at the root level is invalid” 错误
这是 XmlDocument.Load() 或 XDocument.Load() 最常见的报错，90% 是因为流位置不在开头，或内容被提前读过一次。
特色介绍： 1、ASP+XML+XSLT开发，代码、界面、样式全分离，可快速开发 2、支持语言包，支持多模板，ASP文件中无任何HTML or 中文 3、无限级分类，无限级菜单，自由排序 4、自定义版头（用于不规则页面） 5、自动查找无用的上传文件与空目录，并有回收站，可删除、还原、永久删除 6、增强的Cache管理，可单独管理单个Cache 7、以内存和XML做为Cache，兼顾性能与消耗 8、
常见错误现象与修复：
- 调了
stream.Position = 0但没生效？确认流是否支持Seek（比如MemoryStream支持，Request.Body在 ASP.NET Core 中默认不支持） - 用
StreamReader.ReadToEnd()读过一遍再传给XDocument.Load()→ 流已到末尾，必须重新创建流或用StringReader - 前端用
fetch上传时没设Content-Type: multipart/form-data，导致服务端收到的是纯文本而非表单数据 → 检查浏览器 Network 面板里请求的Content-Type头是否含boundary= - XML 前有 UTF-8 BOM（
EF BB BF）且解析器未配置忽略 → 用new XmlReaderSettings { DtdProcessing = DtdProcessing.Ignore }并确保流用XmlReader.Create(stream, settings)
安全边界：别让 XML 外部实体（XXE）击穿服务
默认情况下，.NET 的 XmlDocument 和 XmlReader 启用 DTD 解析，攻击者可构造恶意 XML 引用本地文件（如 ），导致敏感信息泄露。
必须做的防护：
- 禁用 DTD：设置
XmlReaderSettings.DtdProcessing = DtdProcessing.Prohibit - 禁用外部实体：设置
XmlReaderSettings.XmlResolver = null - 若必须处理 DTD，改用
SecureXmlResolver并严格限制协议（只允许http/https） - 对上传的 XML 做长度限制（如
file.Length ），防止 billion laughs 攻击
var settings = new XmlReaderSettings
{
DtdProcessing = DtdProcessing.Prohibit,
XmlResolver = null,
ValidationType = ValidationType.None
};
using var reader = XmlReader.Create(file.OpenReadStream(), settings);
var doc = XDocument.Load(reader); // 安全解析XML 上传本身不复杂，真正的坑都在编码识别、流位置控制和 XXE 防护上。尤其是老项目迁移到 .NET Core 时，Request.Files 彻底消失，别试图用兼容层绕过去——重写上传逻辑比打补丁更可靠。
