XML外部实体漏洞DoS案例：何时发生扩展？

我正在开发一个应用程序，它将XML文件作为输入，然后进行处理。我们发现该应用程序易受XXE DoS攻击，即著名的亿笑案例。在处理文件之前，将根据架构对其进行验证。所以，我的问题是，DoS攻击会在验证期间发生吗？或者在验证过程中，XML实体不会展开，因此只有在验证之后，当解析验证文件时，才会发生DoS攻击？

基本上，解析器必须展开实体以验证文档，因为您的实体可能包含一些标记，并构建有效文档

因此，是的，问题可能发生在XML文件的验证过程中