अपना XML जांचें

दो अलग कसौटियां, और यह कौन-सी है

XML सही होने के दो स्तर तय करता है, और इन्हें अक्सर आपस में मिला दिया जाता है। Well-formed का मतलब है कि डॉक्यूमेंट XML के अपने सिंटैक्स का पालन करता है: एक रूट एलिमेंट, हर टैग बंद, सही नेस्टिंग, मान्य कैरेक्टर, ठीक से एस्केप किए गए ऐम्परसैंड और ऐंगल ब्रैकेट, कोट में एट्रिब्यूट वैल्यू, और एक एलिमेंट में एट्रिब्यूट के नाम अलग-अलग। Valid इससे ज़्यादा सख़्त है — कि डॉक्यूमेंट किसी ख़ास स्कीमा से भी मेल खाता है, सही एलिमेंट सही क्रम में, सही तरह की वैल्यू के साथ। यह पेज पहली चीज़ जांचता है। इसमें फ़ेल होने वाले डॉक्यूमेंट को हर XML पार्सर मना कर देता है, इसलिए यही जांच तय करती है कि फ़ाइल पढ़ी भी जा सकती है या नहीं।

गड़बड़ियां अनुमान के मुताबिक़ ही होती हैं। बिना एस्केप किया & सबसे आम है, बहुत बड़े अंतर से — यह एंटिटी रेफ़रेंस शुरू करता है, इसलिए query string वाला URL सीधे किसी एलिमेंट में पेस्ट करने से डॉक्यूमेंट टूट जाता है। टेक्स्ट में अकेला < भी यही करता है। फिर आते हैं बेमेल या बंद न किए गए टैग, ग़लत क्रम में बंद किए गए एलिमेंट, दो रूट एलिमेंट, और कोई भटका हुआ कंट्रोल कैरेक्टर जिसे XML बिल्कुल अनुमति नहीं देता, भले ही वह फ़ाइल में अदृश्य रूप से बैठा हो।

DTD या स्कीमा जानबूझकर कभी नहीं लाया जाता, और यह कोई कमी नहीं बल्कि सुरक्षा की ख़ूबी है। XML डॉक्यूमेंट किसी बाहरी एंटिटी का नाम दे सकता है, और उसे resolve करने वाला पार्सर जाकर वह चीज़ ले आएगा जिसकी ओर वह इशारा करती है — डिस्क पर कोई फ़ाइल, किसी इंटरनल नेटवर्क का कोई पता। यही XML External Entity कमज़ोरी है, जो सबसे ज़्यादा इस्तेमाल की जाने वाली बग कैटेगरी में से एक है, और इससे पूरा बचाव सिर्फ़ यह है कि इन्हें resolve ही न किया जाए। इसलिए यहां कुछ भी किसी चीज़ तक नहीं पहुंचता, और इसकी क़ीमत यह है कि स्कीमा के हिसाब से वैलिडेशन इसके दायरे से बाहर है।

आपको वह सटीक लाइन और कॉलम मिलता है जहां पार्सिंग रुकी। किसी भी पार्सर की तरह, यह वह जगह है जहां डॉक्यूमेंट का मतलब बनना बंद हुआ, न कि जहां ग़लती है: बंद न किया गया टैग अक्सर उसके बाद आने वाले अनपेक्षित क्लोज़िंग टैग पर बताया जाता है, कभी-कभी सैकड़ों लाइन बाद। बताई गई जगह वह है जहां से ऊपर की ओर ढूंढ़ना शुरू करें, वह नहीं जहां एडिट करना है।

जब आपको कुछ और चाहिए

स्कीमा के हिसाब से वैलिडेट करने के लिए xmllint मानक टूल है: XSD के लिए xmllint --noout --schema schema.xsd file.xml, RELAX NG के लिए --relaxng, और DTD के लिए --noout --valid। यह पहली गड़बड़ी पर रुकने के बजाय हर उल्लंघन बताता है, और जब डॉक्यूमेंट सिर्फ़ टूटा हुआ नहीं बल्कि सच में ग़लत हो, तब आपको यही चाहिए।

जहां इनपुट भरोसेमंद न हो, वहां वैलिडेटर से ज़्यादा पार्सर की कॉन्फ़िगरेशन मायने रखती है। जो भी भाषा आप इस्तेमाल कर रहे हैं, उसमें external entity resolution और DTD प्रोसेसिंग साफ़ तौर पर बंद करें — Python में defusedxml, PHP में LIBXML_NONET, Java में secure processing — क्योंकि कई लोकप्रिय पार्सर आज भी डिफ़ॉल्ट रूप से एंटिटी resolve करते हैं, और कमज़ोरी इसी डिफ़ॉल्ट में है।