Analisador de XML

XML bem-formado segue as regras básicas de sintaxe do XML (aninhamento adequado, tags de fechamento, elemento raiz único). XML válido é bem-formado E está em conformidade com um esquema (DTD, XSD) que define a estrutura e os tipos de dados permitidos.

Não, esta ferramenta verifica apenas a boa formação (correção de sintaxe). Validação baseada em esquema contra DTD ou XSD não é suportada nativamente no navegador.

O método document.evaluate() nativo do navegador suporta XPath 1.0. Isso cobre a maioria das consultas comuns, incluindo eixos, predicados e funções como contains(), text() e @attribute.

Um espaço de nomes mapeia nomes de elementos para um URI através de atributos xmlns - por exemplo, um elemento atom:feed que declara xmlns:atom="http://www.w3.org/2005/Atom". O prefixo é arbitrário; só o URI identifica o espaço de nomes, pelo que dois documentos podem usar prefixos diferentes para o mesmo vocabulário. Os espaços de nomes são a razão pela qual a correspondência em XPath frequentemente precisa de truques com local-name() quando os prefixos diferem.

As expressões XPath 1.0 percorrem a árvore: /rss/channel/item seleciona por caminho, //item encontra itens em qualquer parte do documento, item[@type='news'] filtra por um atributo, e predicados como item[1] ou item[last()] escolhem nós específicos. É a linguagem de consulta por trás do XSLT, de muitos frameworks de teste e do avaliador desta ferramenta.

A injeção de XXE (XML External Entity) abusa de uma entidade DTD que aponta para um caminho de ficheiro ou URL, fazendo com que um parser do lado do servidor a vá buscar - historicamente, expondo /etc/passwd ou serviços internos. Os parsers XML dos navegadores não resolvem entidades externas, e esta ferramenta corre inteiramente no seu navegador, sem qualquer comunicação com o servidor, pelo que o XML colado não pode desencadear leituras de ficheiros nem SSRF.

O DOM carrega o documento inteiro numa árvore que se pode percorrer de forma aleatória - intuitivo, mas com grande consumo de memória para ficheiros enormes. O SAX transmite eventos (tag de abertura, texto, tag de fecho) numa única passagem com memória constante - rápido, mas apenas no sentido de avanço. O JavaScript dos navegadores expõe o DOMParser (estilo DOM); processar XML em streaming em JavaScript precisa de uma biblioteca ou de Web Streams.

Escape-os como &lt; e &amp; em texto normal - < e & são inválidos em bruto nos dados de caracteres. Para blocos de texto com muita marcação, envolva-o numa secção CDATA, que não precisa de escapes até encontrar a sequência ]]> no seu final. Apenas < e & têm obrigatoriamente de ser escapados no conteúdo; > só tem de ser escapado quando forma essa sequência de fecho.