XML-parser

Well-formed XML volgt de basissyntaxisregels van XML (juiste nesting, sluittags, één rootelement). Geldige XML is well-formed ÉN conform een schema (DTD, XSD) dat de toegestane structuur en datatypen definieert.

Nee, deze tool controleert alleen well-formedness (syntactische correctheid). Schemavalidatie tegen DTD of XSD wordt niet natief in de browser ondersteund.

De native document.evaluate() van de browser ondersteunt XPath 1.0. Dit dekt de meeste gangbare queries, waaronder axes, predicaten en functies zoals contains(), text() en @attribute.

Een namespace koppelt elementnamen aan een URI via xmlns-attributen - bijvoorbeeld een atom:feed-element dat xmlns:atom="http://www.w3.org/2005/Atom" declareert. Het prefix is willekeurig; alleen de URI identificeert de namespace, dus twee documenten kunnen verschillende prefixes voor dezelfde vocabulaire gebruiken. Namespaces zijn de reden dat XPath-matching vaak local-name()-trucs nodig heeft wanneer prefixes verschillen.

XPath 1.0-expressies lopen door de boomstructuur: /rss/channel/item selecteert via een pad, //item vindt items overal in het document, item[@type='news'] filtert op een attribuut, en predicaten als item[1] of item[last()] kiezen specifieke nodes. Het is de querytaal achter XSLT, vele testframeworks en de evaluator van deze tool.

XXE-injectie (XML External Entity) misbruikt een DTD-entity die naar een bestandspad of URL wijst, zodat een server-side parser die ophaalt - historisch lekte dit /etc/passwd of interne diensten. Browser-XML-parsers lossen externe entities niet op, en deze tool draait volledig in je browser zonder server-roundtrip, dus geplakte XML kan geen bestandslezingen of SSRF veroorzaken.

DOM laadt het hele document in een boomstructuur die je willekeurig kunt doorlopen - intuïtief maar geheugenhongerig voor enorme bestanden. SAX streamt events (begintag, tekst, eindtag) in één passage met constant geheugen - snel maar alleen vooruit. Browser-Javascript biedt DOMParser (DOM-stijl); streaming XML in Javascript vereist een library of Web Streams.

Escape ze als &lt; en &amp; in gewone tekst - < en & zijn rauw illegaal in character data. Voor blokken tekst vol markup kun je een CDATA-sectie gebruiken, die geen escaping nodig heeft tot de sequentie ]]> aan het einde. Alleen < en & zijn strikt vereist in inhoud; > hoeft alleen geëscaped wanneer het die afsluitende sequentie vormt.