asp.net core接收xml需禁用xxe：用xmlreader.create()配xmlreadersettings（dtdprocessing=disable、xmlresolver=null）；sql server存xml优先选xml类型以支持xpath查询，否则用varchar(max)；批量插入用sqlbulkcopy或拼values；解析带命名空间节点需用xnamespace；读流前用streamreader探测真实编码。
ASP.NET Core里怎么安全接收上传的XML文件
别用 Request.Form.Files 拿完就直接 XmlDocument.Load() —— XML外部实体（XXE）漏洞会直接打穿服务器。必须禁用 DTD 和外部实体解析。
- 用
XmlReader.Create()配合XmlReaderSettings，把DtdProcessing设为Disable，XmlResolver设为null - 上传接口用
IFormFile接收，但别用.OpenReadStream()后丢给不设防的解析器 - 如果 XML 体积可能超 10MB，记得在
Startup.cs或Program.cs里调大MaxRequestBodySize，否则直接 400 错误，错误信息是Request body too large
SQL Server里存XML数据，用 xml 类型还是 varchar(max)
选 xml 类型，但前提是你的查询真需要 XPath 查询或 XQuery。否则纯写入+读取，varchar(max) 更省资源、更少隐式转换风险。
-
xml类型会强制验证格式合法性，插入非法 XML 直接报错XML parsing: line X, character Y, illegal name character - 用
xml类型后，后续想用.value()或.query()提取节点时才真正省事；否则全得靠字符串处理或客户端解析 - 如果只是“存下来等后台服务异步处理”，
varchar(max)+ 校验长度和基础格式（比如开头是否含<?xml）更轻量
解析上传的XML并批量插入SQL Server，避免 N+1 查询
别一边遍历 XElement 节点一边执行单条 INSERT —— 100 个节点就是 100 次数据库 round-trip，延迟直接翻倍。
- 用
SqlBulkCopy：先把节点数据映射成DataTable或IEnumerable<sqldatarecord></sqldatarecord>，再一次性灌进去 - 如果结构简单（比如全是平铺字段），考虑用
string.Join()拼VALUES列表，走单条INSERT INTO ... VALUES (...), (...), (...)（注意 SQL Server 2016+ 才支持万级元组） - 千万别把整个 XML 当参数传进存储过程再用
sp_xml_preparedocument—— 这个 API 已废弃，且容易内存泄漏
XML节点名含特殊字符（如 ns:Item）导致解析失败
不是命名空间没声明的问题，而是你用了 XDocument.Descendants("Item") 却忘了前缀 —— 它根本匹配不到带命名空间的节点。
- 先用
XNamespace ns = doc.Root.GetDefaultNamespace()或显式声明XNamespace ns = "http://example.com/ns" - 再写
doc.Descendants(ns + "Item")，而不是硬写字符串 - 如果 XML 命名空间动态变化，别硬编码，改用
node.Name.LocalName == "Item"绕过前缀判断（但要确认业务上不会冲突）
最常被跳过的一步是 XML 编码校验：上传文件实际是 UTF-8 BOM 或 GBK，但代码按 UTF-8 无 BOM 解析，节点内容就变乱码。读流前先用 StreamReader 自动探测编码，别信 ContentType 里的 charset。
