XML-Parser

Wohlgeformtes XML folgt den grundlegenden Syntaxregeln von XML (korrekte Verschachtelung, schließende Tags, einzelnes Wurzelelement). Gültiges XML ist wohlgeformt UND entspricht einem Schema (DTD, XSD), das die zulässige Struktur und Datentypen definiert.

Nein, dieses Tool prüft nur auf Wohlgeformtheit (Syntaxkorrektheit). Schemabasierte Validierung gegen DTD oder XSD wird im Browser nativ nicht unterstützt.

Die native document.evaluate()-Methode des Browsers unterstützt XPath 1.0. Dies deckt die meisten gängigen Abfragen ab, einschließlich Achsen, Prädikate und Funktionen wie contains(), text() und @attribute.

Ein Namespace ordnet Elementnamen über xmlns-Attribute einem URI zu – zum Beispiel einem atom:feed-Element, das xmlns:atom="http://www.w3.org/2005/Atom" deklariert. Das Präfix ist beliebig; nur der URI identifiziert den Namespace, daher können zwei Dokumente unterschiedliche Präfixe für dasselbe Vokabular verwenden. Namespaces sind der Grund, warum XPath-Matching bei unterschiedlichen Präfixen oft Tricks mit local-name() erfordert.

XPath-1.0-Ausdrücke durchlaufen den Baum: /rss/channel/item wählt nach Pfad aus, //item findet Items an beliebiger Stelle im Dokument, item[@type='news'] filtert nach einem Attribut, und Prädikate wie item[1] oder item[last()] greifen bestimmte Knoten heraus. XPath ist die Abfragesprache hinter XSLT, vielen Test-Frameworks und dem Evaluator dieses Tools.

Die XXE-Injection (XML External Entity) missbraucht eine DTD-Entität, die auf einen Dateipfad oder eine URL zeigt, sodass ein serverseitiger Parser sie abruft – historisch führte das zur Offenlegung von /etc/passwd oder interner Dienste. Browser-XML-Parser lösen keine externen Entitäten auf, und dieses Tool läuft vollständig in deinem Browser ohne Server-Round-Trips, sodass eingefügtes XML weder Dateizugriffe noch SSRF auslösen kann.

DOM lädt das gesamte Dokument in einen Baum, den du beliebig durchqueren kannst – intuitiv, aber bei riesigen Dateien speicherhungrig. SAX streamt Ereignisse (Start-Tag, Text, End-Tag) in einem einzigen Durchlauf mit konstantem Speicherbedarf – schnell, aber nur vorwärts. Browser-JavaScript stellt DOMParser bereit (im DOM-Stil); XML in JavaScript zu streamen erfordert eine Bibliothek oder Web Streams.

Maskiere sie in gewöhnlichem Text als &lt; und &amp; – < und & sind in Zeichendaten unmaskiert nicht zulässig. Für Textblöcke mit viel Markup umschließe ihn mit einem CDATA-Abschnitt, der bis auf die Sequenz ]]> am Ende kein Maskieren erfordert. Im Inhalt sind zwingend nur < und & zu maskieren; > muss nur dann maskiert werden, wenn es diese schließende Sequenz bildet.