O XML que confia

A PampaBill recebe faturas em XML num endpoint POST /ingest. O código do parser está em invoice-parser.js, e parser-options.txt explica cada opção de configuração. O parse-log.txt mostra o que aconteceu quando uma fatura trouxe um DTD.

Antes de atacar qualquer coisa, você precisa reconhecer por que esse parser é perigoso. Das três opções configuradas, só UMA, quando ligada, faz o parser realmente resolver entidades externas (ir buscar um arquivo ou URL e colar o conteúdo). O nome dessa opção é a flag.

Formato: tocaia{...} em minúsculas, o nome da opção sem espaços. Exemplo com a mesma forma, que não é a resposta: tocaia{readtimeout}.