Passport SAML 和 XML 解析器

问：

我正在尝试在 Express.js 上实现 passport-saml MultiSamlStrategy，到目前为止一切正常。据我所知，passport 已经验证了 SAML 响应签名、颁发者、目的地等。因此，它必须具有 XML 解析器。我正在尝试保护我的应用程序以防止 XXE 攻击，因此我必须保证在我的 XML 解析器上禁用 DTD（文档类型定义）。如何使用 passport-saml 实现这一目标？

我正在使用这些中间件：

app.use(express.urlencoded({ extended: false, limit: "15mb" }));
app.use(express.json({ limit: "15mb" }));

不确定 DTD 是否与中间件有关或与 passport 本身有关。