本文提供了此 API 参考文档的补充说明。
您可以使用 Create 方法来获取 XmlReader 实例。 此方法使用 XmlReaderSettings 类指定要在创建的对象中 XmlReader 实现哪些功能。
有关用于符合性检查、验证和其他常见场景的设置信息，请参阅XmlReader和Create参考页面的“备注”部分。 请参阅构造函数XmlReaderSettings()以获取默认设置列表。
安全注意事项
使用 XmlReaderSettings 类时，请考虑以下事项。
ProcessInlineSchema对象的ProcessSchemaLocation和XmlReaderSettings验证标志在默认情况下未设置。 设置了这些标志后，XmlResolver 对象的 XmlReaderSettings 用于在 XmlReader 中解析实例文档中遇到的架构位置。 如果XmlResolver对象是
null，即使ProcessInlineSchema和ProcessSchemaLocation验证标志已设置，架构位置也不会解析。验证期间添加的架构添加新类型，并可以更改正在验证的文档的验证结果。 因此，只能从受信任的源解析外部架构。
验证错误消息可能会公开敏感内容模型信息。 验证错误和警告消息使用 ValidationEventHandler 委托进行处理，或在未向 XmlSchemaValidationException 对象提供事件处理程序的情况下作为 XmlReaderSettings 公开（验证警告不会引发 XmlSchemaValidationException）。 不应在不受信任的方案中公开此内容模型信息。 默认情况下会禁止验证警告消息，可以通过设置 ReportValidationWarnings 标志来报告。
SourceUri 的 XmlSchemaValidationException 属性会返回导致异常的架构文件的 URI 路径。 SourceUri属性不应在不受信任的方案中公开。
在高可用性场景中，当参照对文档的大部分内容具有标识约束的架构验证不受信任的大型 XML 文档时，建议禁用 ProcessIdentityConstraints 标志（默认情况下会启用）。
XmlReaderSettings 对象可以包含敏感信息，例如用户凭据。 缓存 XmlReaderSettings 对象或将对象从一个组件传递到 XmlReaderSettings 另一个组件时，应小心。
默认情况下，DTD 处理处于禁用状态。 如果启用 DTD 处理，则需要包含来自不受信任的源的 DTD 和可能的拒绝服务攻击。 使用XmlSecureResolver来限制XmlReader可以访问的资源。
不接受来自不受信任的源的支持组件，例如 NameTable、 XmlNamespaceManager对象和 XmlResolver 对象。
使用 XmlReader 的应用程序的内存使用情况可能与已分析的 XML 文档的大小相关。 拒绝服务攻击的一种形式是提交过多的 XML 文档进行分析。 可以通过设置 MaxCharactersInDocument 属性来限制可分析的文档的大小，然后通过设置 MaxCharactersFromEntities 属性来限制扩展实体导致的字符数。
