Analizador de XML

El XML bien formado sigue las reglas básicas de sintaxis de XML (anidamiento correcto, etiquetas de cierre, elemento raíz único). El XML válido está bien formado Y además cumple con un esquema (DTD, XSD) que define la estructura y tipos de datos permitidos.

No, esta herramienta solo verifica la buena formación (corrección sintáctica). La validación basada en esquemas contra DTD o XSD no es compatible nativamente en el navegador.

El método nativo document.evaluate() del navegador es compatible con XPath 1.0. Esto cubre la mayoría de las consultas comunes incluyendo ejes, predicados y funciones como contains(), text() y @attribute.

Un espacio de nombres asocia nombres de elementos a una URI mediante atributos xmlns; por ejemplo, un elemento atom:feed que declara xmlns:atom="http://www.w3.org/2005/Atom". El prefijo es arbitrario; solo la URI identifica el espacio de nombres, por lo que dos documentos pueden usar prefijos distintos para el mismo vocabulario. Los espacios de nombres son la razón por la que las coincidencias de XPath a menudo requieren trucos con local-name() cuando los prefijos difieren.

Las expresiones XPath 1.0 recorren el árbol: /rss/channel/item selecciona por ruta, //item encuentra elementos en cualquier parte del documento, item[@type='news'] filtra por un atributo, y predicados como item[1] o item[last()] eligen nodos específicos. Es el lenguaje de consulta detrás de XSLT, de muchos frameworks de pruebas y del evaluador de esta herramienta.

La inyección XXE (XML External Entity) abusa de una entidad DTD que apunta a una ruta de archivo o URL, haciendo que un analizador del lado del servidor la obtenga; históricamente ha filtrado /etc/passwd o servicios internos. Los analizadores XML de los navegadores no resuelven entidades externas, y esta herramienta se ejecuta por completo en tu navegador sin ninguna comunicación con el servidor, por lo que el XML pegado no puede desencadenar lecturas de archivos ni SSRF.

DOM carga todo el documento en un árbol que puedes recorrer de forma aleatoria: intuitivo, pero con alto consumo de memoria para archivos enormes. SAX transmite eventos (etiqueta de apertura, texto, etiqueta de cierre) en una sola pasada con memoria constante: rápido, pero solo hacia adelante. El JavaScript de los navegadores expone DOMParser (estilo DOM); procesar XML en streaming con JavaScript requiere una biblioteca o Web Streams.

Escápalos como &lt; y &amp; en el texto normal: < y & no son válidos sin escape en los datos de caracteres. Para bloques de texto con mucho marcado, envuélvelo en una sección CDATA, que no requiere escape hasta llegar a la secuencia ]]> al final. Solo < y & son estrictamente obligatorios en el contenido; > debe escaparse únicamente cuando forma esa secuencia de cierre.