Vérifier votre XML

Deux niveaux d'exigence, et celui que vérifie cette page

XML définit deux niveaux de conformité, et on les confond sans cesse. Bien formé signifie que le document respecte la syntaxe propre au XML : un seul élément racine, chaque balise fermée, une imbrication correcte, des caractères autorisés, des esperluettes et chevrons correctement échappés, des valeurs d'attribut entre guillemets, des noms d'attribut uniques dans un même élément. Valide signifie davantage : que le document correspond en plus à un schéma donné, avec les bons éléments dans le bon ordre et les bons types de valeur. Cette page vérifie le premier niveau. Tout analyseur XML refuse un document qui n'y satisfait pas : c'est donc la vérification qui décide si un fichier peut être lu ou non.

Les erreurs sont prévisibles. Une & non échappée est de loin la plus fréquente — elle ouvre une référence d'entité, si bien qu'une URL avec paramètres collée telle quelle dans un élément casse le document. Un < isolé dans le texte a le même effet. Viennent ensuite les balises mal appariées ou non fermées, les éléments fermés dans le mauvais ordre, deux éléments racine, et un caractère de contrôle égaré que XML n'autorise pas du tout, alors qu'il est invisible dans le fichier.

Aucune DTD ni aucun schéma n'est jamais récupéré, délibérément : c'est une mesure de sécurité, pas une fonctionnalité manquante. Un document XML peut désigner une entité externe, et un analyseur qui la résout ira chercher ce vers quoi elle pointe — un fichier sur le disque, une adresse sur un réseau interne. C'est la vulnérabilité XML External Entity (XXE), l'une des catégories de failles les plus exploitées qui soient, et la seule défense complète consiste à ne jamais résoudre ces entités. Rien ici ne contacte donc quoi que ce soit, et la contrepartie est que la validation par schéma n'entre pas dans le périmètre.

Vous obtenez la ligne et la colonne exactes où l'analyse s'est arrêtée. Comme avec tout analyseur, c'est l'endroit où le document a cessé d'avoir du sens, pas forcément celui où se trouve l'erreur : une balise non fermée est généralement signalée au niveau de la balise fermante inattendue qui la suit, parfois des centaines de lignes plus loin. La position indiquée est le point de départ pour remonter, pas l'endroit à corriger.

Si vous cherchez autre chose

Pour valider selon un schéma, xmllint est l'outil de référence : xmllint --noout --schema schema.xsd file.xml pour XSD, --relaxng pour RELAX NG, et --noout --valid pour une DTD. Il signale chaque violation au lieu de s'arrêter à la première, ce qui est préférable quand un document est réellement incorrect et pas simplement cassé.

Dès qu'il s'agit de données non fiables, la configuration de l'analyseur compte davantage que le validateur. Désactivez explicitement la résolution des entités externes et le traitement des DTD dans le langage que vous utilisez — defusedxml en Python, LIBXML_NONET en PHP, le traitement sécurisé en Java — car plusieurs analyseurs populaires résolvent encore les entités par défaut, et c'est justement dans ce réglage par défaut que se trouve la vulnérabilité.