为什么在使用.Net WCF等Web服务时禁止使用DTD？

Question

在有关使用WCF安全使用Web服务的文档中，他们声明建议您在使用元数据时禁止DTD。为什么DTD存在安全风险？

http://msdn.microsoft.com/en-us/library/ms734741.aspx

Answer 1

http://msdn.microsoft.com/en-us/magazine/ee335713.aspx

抵御所有类型的XML实体攻击最简单的方法是 简单地完全禁用你的XML解析 对象使用内嵌DTD架构的。这是攻击面减少原理的一个简单应用：如果你没有使用某项功能，那么 会关闭它，以便攻击者不会滥用它。

Answer 2

在这种情况下，有服务的已知漏洞拒绝（见安德鲁斯答案）

然而，几乎所有的东西，减少攻击面将提高安全性。