Парсер XML

Корректный XML следует базовым синтаксическим правилам XML (правильная вложенность, закрывающие теги, единственный корневой элемент). Валидный XML — это корректный XML, который также соответствует схеме (DTD, XSD), определяющей допустимую структуру и типы данных.

Нет, этот инструмент проверяет только корректность (синтаксическую правильность). Проверка по схеме DTD или XSD не поддерживается в браузере нативно.

Встроенный метод браузера document.evaluate() поддерживает XPath 1.0. Это покрывает большинство распространённых запросов, включая оси, предикаты и функции, такие как contains(), text() и @attribute.

Пространство имён сопоставляет имена элементов с URI через атрибуты xmlns — например, элемент atom:feed, объявляющий xmlns:atom="http://www.w3.org/2005/Atom". Префикс произвольный; пространство имён идентифицируется только URI, поэтому два документа могут использовать разные префиксы для одного и того же словаря. Именно из-за пространств имён сопоставление в XPath часто требует трюков с local-name(), когда префиксы различаются.

Выражения XPath 1.0 обходят дерево: /rss/channel/item выбирает по пути, //item находит элементы item в любом месте документа, item[@type='news'] фильтрует по атрибуту, а предикаты вроде item[1] или item[last()] выбирают конкретные узлы. Это язык запросов, лежащий в основе XSLT, множества тестовых фреймворков и вычислителя выражений этого инструмента.

Инъекция XXE (XML External Entity) эксплуатирует сущность DTD, указывающую на путь к файлу или URL, заставляя серверный парсер её загрузить — исторически это приводило к утечке /etc/passwd или данных внутренних сервисов. XML-парсеры браузеров не разрешают внешние сущности, а этот инструмент работает полностью в вашем браузере без обращений к серверу, поэтому вставленный XML не может вызвать чтение файлов или SSRF.

DOM загружает весь документ в дерево, по которому можно свободно перемещаться — интуитивно понятно, но требует много памяти для огромных файлов. SAX передаёт события (открывающий тег, текст, закрывающий тег) за один проход с постоянным расходом памяти — быстро, но только в прямом направлении. В браузерном JavaScript доступен DOMParser (в стиле DOM); потоковая обработка XML в JavaScript требует библиотеки или Web Streams.

Экранируйте их как &lt; и &amp; в обычном тексте — сырые < и & недопустимы в символьных данных. Для блоков текста, насыщенного разметкой, оберните его в секцию CDATA, которая не требует экранирования до последовательности ]]> в её конце. В содержимом строго обязательно экранировать только < и &; > нужно экранировать лишь тогда, когда он образует эту закрывающую последовательность.