Analizzatore XML

L'XML ben formato segue le regole sintattiche di base di XML (annidamento corretto, tag di chiusura, singolo elemento radice). L'XML valido è ben formato E conforme a uno schema (DTD, XSD) che definisce la struttura e i tipi di dati consentiti.

No, questo strumento verifica solo la correttezza sintattica (ben formazione). La validazione basata su schema rispetto a DTD o XSD non è supportata nativamente nel browser.

Il metodo nativo document.evaluate() del browser supporta XPath 1.0. Questo copre la maggior parte delle query comuni inclusi assi, predicati e funzioni come contains(), text() e @attribute.

Un namespace mappa i nomi degli elementi a un URI tramite attributi xmlns - per esempio un elemento atom:feed che dichiara xmlns:atom="http://www.w3.org/2005/Atom". Il prefisso è arbitrario; solo l'URI identifica il namespace, quindi due documenti possono usare prefissi diversi per lo stesso vocabolario. I namespace sono il motivo per cui il matching XPath spesso richiede trucchi con local-name() quando i prefissi differiscono.

Le espressioni XPath 1.0 percorrono l'albero: /rss/channel/item seleziona per percorso, //item trova gli item in qualsiasi punto del documento, item[@type='news'] filtra su un attributo, e predicati come item[1] o item[last()] individuano nodi specifici. È il linguaggio di query alla base di XSLT, di molti framework di test e dell'evaluator di questo strumento.

L'iniezione XXE (XML External Entity) sfrutta un'entità DTD che punta a un percorso di file o a un URL, inducendo un parser lato server a scaricarla - storicamente ha permesso di leggere /etc/passwd o servizi interni. I parser XML dei browser non risolvono le entità esterne, e questo strumento gira interamente nel tuo browser senza round-trip verso il server, quindi l'XML incollato non può innescare letture di file o SSRF.

DOM carica l'intero documento in un albero navigabile in modo arbitrario - intuitivo ma esoso di memoria per file enormi. SAX trasmette eventi in streaming (tag di apertura, testo, tag di chiusura) in un'unica passata con memoria costante - veloce ma solo in avanti. Il JavaScript dei browser espone DOMParser (in stile DOM); lo streaming di XML in JavaScript richiede una libreria o Web Streams.

Mettili in escape come &lt; e &amp; nel testo ordinario - < e & non sono ammessi come caratteri raw nei dati di tipo carattere. Per blocchi di testo ricco di markup, avvolgilo in una sezione CDATA, che non richiede alcun escape fino a quando non incontra la sequenza ]]> alla sua fine. Nel contenuto solo < e & richiedono obbligatoriamente l'escape; > va messo in escape solo quando forma quella sequenza di chiusura.