Analisador de XML

XML bem-formado segue as regras básicas de sintaxe do XML (aninhamento adequado, tags de fechamento, elemento raiz único). XML válido é bem-formado E está em conformidade com um esquema (DTD, XSD) que define a estrutura e os tipos de dados permitidos.

Não, esta ferramenta verifica apenas a boa formação (correção de sintaxe). Validação baseada em esquema contra DTD ou XSD não é suportada nativamente no navegador.

O método document.evaluate() nativo do navegador suporta XPath 1.0. Isso cobre a maioria das consultas comuns, incluindo eixos, predicados e funções como contains(), text() e @attribute.

Um namespace mapeia nomes de elementos para um URI por meio de atributos xmlns - por exemplo, um elemento atom:feed declarando xmlns:atom="http://www.w3.org/2005/Atom". O prefixo é arbitrário; apenas o URI identifica o namespace, então dois documentos podem usar prefixos diferentes para o mesmo vocabulário. É por causa dos namespaces que a correspondência XPath frequentemente precisa de truques com local-name() quando os prefixos diferem.

Expressões XPath 1.0 percorrem a árvore: /rss/channel/item seleciona por caminho, //item encontra itens em qualquer lugar do documento, item[@type='news'] filtra por um atributo, e predicados como item[1] ou item[last()] escolhem nós específicos. É a linguagem de consulta por trás do XSLT, de muitos frameworks de teste e do avaliador desta ferramenta.

A injeção de XXE (XML External Entity) abusa de uma entidade DTD apontando para um caminho de arquivo ou URL, fazendo um analisador do lado do servidor buscá-la - historicamente vazando /etc/passwd ou serviços internos. Os analisadores XML de navegador não resolvem entidades externas, e esta ferramenta roda inteiramente no seu navegador, sem idas e voltas ao servidor, então o XML colado não pode acionar leitura de arquivos ou SSRF.

O DOM carrega o documento inteiro em uma árvore que você pode navegar livremente - intuitivo, mas consome muita memória para arquivos enormes. O SAX transmite eventos (tag de abertura, texto, tag de fechamento) em uma única passada, com memória constante - rápido, mas apenas para frente. O JavaScript dos navegadores expõe o DOMParser (estilo DOM); processar XML em streaming no JavaScript exige uma biblioteca ou Web Streams.

Escape-os como &lt; e &amp; em texto comum - < e & são ilegais em dados de caracteres quando crus. Para blocos de texto com muita marcação, envolva-o em uma seção CDATA, que não exige escaping até encontrar a sequência ]]> no seu final. Apenas < e & são estritamente obrigatórios no conteúdo; > precisa ser escapado somente quando forma essa sequência de fechamento.