XML 유효성 검사

서로 다른 두 가지 기준, 그리고 이 도구가 확인하는 것

XML에는 두 단계의 올바름이 정의되어 있으며, 둘은 흔히 혼동됩니다. 올바른 형식(well-formed)은 문서가 XML 자체의 문법을 지킨다는 뜻입니다. 루트 요소가 하나이고, 모든 태그가 닫혀 있고, 중첩이 올바르며, 허용되는 문자만 쓰였고, 앰퍼샌드와 꺾쇠괄호가 제대로 이스케이프되었고, 속성 값에 따옴표가 있고, 한 요소 안의 속성 이름이 중복되지 않는 것입니다. 유효함(valid)은 그보다 강한 의미로, 문서가 특정 스키마와도 일치해 올바른 요소가 올바른 순서로 올바른 종류의 값을 담고 있다는 뜻입니다. 이 페이지는 앞의 것을 확인합니다. 모든 XML 파서는 이 기준을 통과하지 못한 문서를 거부하므로, 파일을 애초에 읽을 수 있는지를 결정하는 검사입니다.

실패 원인은 뻔합니다. 이스케이프되지 않은 &가 단연 가장 흔합니다. &는 엔티티 참조의 시작이므로, 쿼리 문자열이 있는 URL을 요소 안에 그대로 붙여 넣으면 문서가 깨집니다. 텍스트 안의 <도 마찬가지입니다. 그다음은 짝이 맞지 않거나 닫히지 않은 태그, 잘못된 순서로 닫힌 요소, 두 개의 루트 요소, 그리고 파일 안에 보이지 않게 숨어 있지만 XML이 아예 허용하지 않는 제어 문자입니다.

DTD나 스키마는 의도적으로 절대 가져오지 않으며, 이는 빠진 기능이 아니라 보안상의 특성입니다. XML 문서는 외부 엔티티를 지정할 수 있고, 이를 해석하는 파서는 그것이 가리키는 대상, 즉 디스크의 파일이나 내부 네트워크의 주소를 실제로 가져옵니다. 이것이 XML 외부 엔티티(XXE) 취약점이며, 가장 많이 악용되는 버그 유형 중 하나입니다. 완전한 방어는 외부 엔티티를 해석하지 않는 것뿐입니다. 그래서 여기서는 어떤 곳에도 접속하지 않으며, 그 대가로 스키마 검증은 범위에서 제외됩니다.

결과로는 파싱이 멈춘 정확한 줄과 열을 알려 드립니다. 다른 파서와 마찬가지로 그 위치는 실수한 곳이 아니라 문서가 말이 안 되기 시작한 지점입니다. 닫히지 않은 태그는 보통 그 뒤에 나오는 예상치 못한 닫는 태그에서 보고되며, 때로는 수백 줄 뒤일 수도 있습니다. 보고된 위치는 고칠 곳이 아니라 거기서부터 위로 거슬러 올라가며 찾아볼 출발점입니다.

다른 작업이 필요할 때

스키마 기준으로 검증하려면 xmllint가 표준 도구입니다. XSD는 xmllint --noout --schema schema.xsd file.xml, RELAX NG는 --relaxng, DTD는 --noout --valid를 씁니다. 첫 번째 오류에서 멈추지 않고 모든 위반을 보고하므로, 문서가 단순히 깨진 것이 아니라 내용이 정말 잘못되었을 때 원하는 결과를 줍니다.

신뢰할 수 없는 입력을 다룬다면 검사기보다 파서 설정이 더 중요합니다. 사용하는 언어에서 외부 엔티티 해석과 DTD 처리를 명시적으로 끄세요. Python에서는 defusedxml, PHP에서는 LIBXML_NONET, Java에서는 보안 처리(secure processing)를 씁니다. 여러 인기 파서가 여전히 기본값으로 엔티티를 해석하며, 취약점은 바로 그 기본값에 있습니다.