Como saber se o arquivo que recebo é legitimo

O arquivo XML deve possuir uma tag com o protocolo de autorização. Você também pode consultar no site da SEFAZ emissor de cada nota, conferindo se este arquivo está autorizado.

Atenção! O arquivo XML que não possui o protocolo de autorização não tem validade fiscal.