Ruby如何实现Ruby on Rails框架中的XML解析与响应处理？

本文共计925个文字，预计阅读时间需要4分钟。

直接使用 `REXML::Document.new` 解析不可信的XML可能会触发XXE攻击，例如外部实体加载、内存爆炸式膨胀等。Rails默认未开启防护，需自行补充。

• 优先用 Nokogiri.parse 替代 REXML，它默认禁用外部实体，且支持更严格的解析选项
• 若必须用 REXML，需手动关闭实体解析：REXML::Document.new(xml, :entity_expansion_text_limit => 10_000)
• 永远别对用户输入或第三方API响应直接调用 .parse，先做白名单过滤或长度截断
• 示例： Nokogiri::XML("<root><?xml version='1.0'?><!DOCTYPE x [ <!ENTITY foo SYSTEM 'file:///etc/passwd' > ]><x>&foo;</x></root>") 不会读取文件，而 REXML::Document.new 默认会

Rails里怎么处理HTTP返回的XML响应

Rails 7+ 默认把 Content-Type: application/xml 自动转成 params 或 request.body，但行为取决于控制器是否启用了 XML 解析中间件。