افحص XML الخاص بك

معياران مختلفان، وأيهما هذا

يحدد XML مستويين من الصحة، ويُخلط بينهما باستمرار. سليم البنية (well-formed) يعني أن المستند يلتزم بقواعد صياغة XML نفسها: عنصر جذر واحد، وكل وسم مُغلق، وتداخل صحيح، وأحرف مسموح بها، وعلامات & وأقواس زاوية مُهرَّبة كما ينبغي، وقيم سمات بين علامات اقتباس، وأسماء سمات غير مكررة داخل العنصر الواحد. أما صالح (valid) فيعني شيئًا أقوى — أن المستند يطابق أيضًا مخططًا معينًا، بالعناصر الصحيحة بالترتيب الصحيح وبأنواع القيم الصحيحة. هذه الصفحة تفحص المستوى الأول. وكل محلل XML يرفض المستند الذي لا يجتازه، لذا فهو الفحص الذي يحدد إن كان الملف قابلًا للقراءة أصلًا.

الأخطاء متوقعة. علامة & غير المُهرَّبة هي الأكثر شيوعًا بفارق كبير — فهي تبدأ مرجع كيان، لذا فإن رابط URL فيه سلسلة استعلام يُلصق مباشرة داخل عنصر يُفسد المستند. وعلامة < المنفردة في النص تفعل الشيء نفسه. ثم تأتي الوسوم غير المتطابقة أو غير المُغلقة، والعناصر المُغلقة بترتيب خاطئ، ووجود عنصرين جذريين، وحرف تحكم شارد لا يسمح به XML إطلاقًا رغم أنه يقبع في الملف دون أن يُرى.

لا يُجلب ملف DTD أو مخطط أبدًا عن قصد، وهذه خاصية أمان لا ميزة ناقصة. يمكن لمستند XML أن يشير إلى كيان خارجي، والمحلل الذي يحلّه سيذهب لجلب ما يشير إليه — ملفًا على القرص، أو عنوانًا على شبكة داخلية. هذه هي ثغرة XML External Entity (XXE)، من أكثر فئات الثغرات استغلالًا على الإطلاق، والدفاع الكامل الوحيد هو عدم حلّ هذه الكيانات. لذا لا يتصل شيء هنا بأي شيء، والثمن أن التحقق وفق مخطط خارج النطاق.

ما تحصل عليه هو السطر والعمود الدقيقان حيث توقف التحليل. وكما في أي محلل، هذا هو الموضع الذي توقف فيه المستند عن أن يكون مفهومًا، لا موضع الخطأ نفسه: فالوسم غير المُغلق يُبلغ عنه عادةً عند وسم الإغلاق غير المتوقع الذي يليه، وأحيانًا بعد مئات الأسطر. الموضع المُبلغ عنه هو نقطة البدء في البحث صعودًا، لا مكان التعديل.

عندما تحتاج إلى شيء آخر

للتحقق وفق مخطط، xmllint هو الأداة المرجعية: xmllint --noout --schema schema.xsd file.xml لـ XSD، و--relaxng لـ RELAX NG، و--noout --valid لـ DTD. وهو يُبلغ عن كل مخالفة بدلًا من التوقف عند الأولى، وهذا ما تريده حين يكون المستند خاطئًا فعلًا لا مجرد معطوب.

في أي شيء يتضمن مُدخلات غير موثوقة، تهم إعدادات المحلل أكثر من أداة التحقق. عطّل حلّ الكيانات الخارجية ومعالجة DTD صراحةً في أي لغة تستخدمها — defusedxml في Python، وLIBXML_NONET في PHP، والمعالجة الآمنة (secure processing) في Java — لأن عدة محللات شائعة لا تزال تحلّ الكيانات افتراضيًا، والإعداد الافتراضي هو حيث تكمن الثغرة.