محلل XML

XML المُكوّن بشكل صحيح يتبع قواعد بناء الجملة الأساسية لـ XML (تداخل صحيح، وسوم إغلاق، عنصر جذر واحد). XML الصالح يكون مُكوّناً بشكل صحيح ويتوافق أيضاً مع مخطط (DTD، XSD) يحدد البنية وأنواع البيانات المسموحة.

لا، تتحقق هذه الأداة من البنية الصحيحة فقط (صحة بناء الجملة). التحقق القائم على المخطط مقابل DTD أو XSD غير مدعوم في المتصفح بشكل أصلي.

دالة document.evaluate() الأصلية في المتصفح تدعم XPath 1.0. وهذا يغطي معظم الاستعلامات الشائعة بما في ذلك المحاور والمسندات والدوال مثل contains() و text() و @attribute.

تُعرِّف مساحة الأسماء أسماء العناصر بعنوان URI عبر السمات xmlns - على سبيل المثال عنصر atom:feed الذي يعرّف xmlns:atom="http://www.w3.org/2005/Atom". البادئة اعتباطية؛ فمساحة الأسماء يحددها عنوان URI وحده، ومن ثَمّ يمكن لمستندين استخدام بادئتين مختلفتين للمفردات نفسها. مساحات الأسماء هي السبب في أن مطابقة XPath كثيراً ما تتطلب حيل local-name() عند اختلاف البادئات.

تتجول تعبيرات XPath 1.0 في الشجرة: /rss/channel/item يختار حسب المسار، و//item يجد العناصر في أي مكان في المستند، وitem[@type='news'] يرشِّح حسب سمة، أما المسندات مثل item[1] أو item[last()] فتلتقط عقداً بعينها. وهي لغة الاستعلام التي تقف خلف XSLT وكثير من أطر الاختبار وفي مقيّم التعبيرات في هذه الأداة.

يستغل حقن XXE (XML External Entity) كيان DTD يشير إلى مسار ملف أو عنوان URL فيجعل المحلل من جهة الخادم يجلبه - وهو ما سرّب تاريخياً /etc/passwd أو خدماتاً داخلية. محللات XML في المتصفح لا تعالج الكيانات الخارجية، وهذه الأداة تعمل بالكامل داخل متصفحك دون أي اتصال بخادم، فلا يمكن لـ XML الملصوق أن يؤدي إلى قراءة ملفات أو SSRF.

يحمّل DOM المستند كاملاً في شجرة يمكنك التنقل فيها بحرية - وهو أسلوب بديهي لكنه جائع للذاكرة مع الملفات الضخمة. أما SAX فيبثّ الأحداث (وسم بداية، نص، وسم نهاية) في تمريرة واحدة بذاكرة ثابتة - سريع لكنه في اتجاه أمامي فقط. توفّر JavaScript في المتصفح DOMParser (بنمط DOM)؛ أما بث XML في JavaScript فيتطلب مكتبة أو Web Streams.

رمّزها بالشكل &lt; و&amp; في النص العادي - فالرمزان < و& غير قانونيين بصورتهما الخام في بيانات الأحرف. ولمقاطع النصوص الغنية بالوسوم، ضعها داخل قسم CDATA الذي لا يحتاج إلى ترميز حتى يصادف التسلسل ]]> في نهايته. الرمزان < و& وحدهما ما يُشترط ترميزهما في المحتوى؛ أما > فلا يلزم ترميزه إلا إذا شكّل ذلك التسلسل الختامي.