Comprueba tu XML

Dos niveles distintos, y cuál es este

XML define dos niveles de corrección, y se confunden constantemente. Bien formado significa que el documento cumple la sintaxis propia de XML: un solo elemento raíz, todas las etiquetas cerradas, anidación correcta, caracteres válidos, signos & y corchetes angulares correctamente escapados, valores de atributo entre comillas y nombres de atributo únicos dentro de cada elemento. Válido significa algo más exigente: que el documento además se ajusta a un esquema concreto, con los elementos correctos en el orden correcto y con el tipo de valor correcto. Esta página comprueba lo primero. Todo analizador de XML rechaza un documento que no lo cumple, así que es la comprobación que decide si un archivo se puede leer o no.

Los fallos son previsibles. Un & sin escapar es, con mucha diferencia, el más común: inicia una referencia a entidad, así que una URL con query string pegada tal cual dentro de un elemento rompe el documento. Un < suelto en el texto hace lo mismo. Después vienen las etiquetas que no coinciden o que no se cierran, los elementos cerrados en el orden equivocado, dos elementos raíz y algún carácter de control perdido que XML no admite en absoluto, aunque esté invisible en el archivo.

Nunca se descarga una DTD ni un esquema, a propósito, y eso es una medida de seguridad, no una función que falta. Un documento XML puede nombrar una entidad externa, y un analizador que la resuelve va a buscar aquello a lo que apunta: un archivo en disco, una dirección de una red interna. Esa es la vulnerabilidad XML External Entity (XXE), una de las clases de fallo más explotadas que existen, y la única defensa completa es no resolverlas. Así que aquí nada se conecta a nada, y el precio es que la validación contra un esquema queda fuera del alcance.

Lo que obtienes es la línea y la columna exactas donde se detuvo el análisis. Como con cualquier analizador, ese es el punto donde el documento dejó de tener sentido, no donde está el error: una etiqueta sin cerrar suele señalarse en la etiqueta de cierre inesperada que viene después, a veces cientos de líneas más abajo. La posición indicada es desde donde hay que empezar a buscar hacia arriba, no lo que hay que editar.

Si buscas otra cosa

Para validar contra un esquema, xmllint es la herramienta de referencia: xmllint --noout --schema schema.xsd file.xml para XSD, --relaxng para RELAX NG y --noout --valid para una DTD. Informa de todas las infracciones en lugar de detenerse en la primera, que es lo que quieres cuando un documento está realmente mal y no solo roto.

Con cualquier entrada que no sea de confianza, la configuración del analizador importa más que el validador. Desactiva explícitamente la resolución de entidades externas y el procesamiento de DTD en el lenguaje que uses (defusedxml en Python, LIBXML_NONET en PHP, el procesamiento seguro en Java), porque varios analizadores populares todavía resuelven entidades por defecto, y es en ese valor por defecto donde vive la vulnerabilidad.