Verifique seu XML

Dois níveis diferentes, e qual deles é este

O XML define dois níveis de correção, e eles vivem sendo confundidos. Bem formado significa que o documento obedece à sintaxe do próprio XML: um único elemento raiz, toda tag fechada, aninhamento correto, caracteres válidos, e-comerciais e sinais de menor e maior escapados, valores de atributo entre aspas e nomes de atributo únicos dentro de cada elemento. Válido significa algo mais forte — que o documento também segue um schema específico, com os elementos certos na ordem certa e com os tipos de valor certos. Esta página verifica o primeiro. Todo parser XML recusa um documento que falha nisso, então é essa verificação que decide se um arquivo pode ser lido.

As falhas são previsíveis. Um & sem escape é de longe a mais comum — ele inicia uma referência de entidade, então uma URL com query string colada direto em um elemento quebra o documento. Um < solto no texto faz o mesmo. Depois vêm tags sem par ou sem fechamento, elementos fechados na ordem errada, dois elementos raiz e um caractere de controle perdido que o XML não permite de jeito nenhum, mesmo que fique invisível no arquivo.

Um DTD ou schema nunca é buscado, de propósito, e isso é uma propriedade de segurança, não um recurso que falta. Um documento XML pode citar uma entidade externa, e um parser que a resolve vai buscar o que ela aponta — um arquivo no disco, um endereço em uma rede interna. Essa é a vulnerabilidade XML External Entity, uma das classes de bug mais exploradas que existem, e a única defesa completa é não resolvê-las. Por isso nada aqui acessa nada externo, e o custo é que a validação por schema fica fora do escopo.

O que você recebe é a linha e a coluna exatas em que a análise parou. Como em qualquer parser, esse é o ponto em que o documento deixou de fazer sentido, não onde está o erro: uma tag sem fechamento costuma ser apontada na tag de fechamento inesperada que vem depois, às vezes centenas de linhas abaixo. A posição informada é de onde começar a procurar para cima, não onde editar.

Quando você precisa de outra coisa

Para validar contra um schema, o xmllint é a ferramenta de referência: xmllint --noout --schema schema.xsd file.xml para XSD, --relaxng para RELAX NG e --noout --valid para um DTD. Ele informa todas as violações em vez de parar na primeira, que é o que você quer quando um documento está realmente errado, e não apenas quebrado.

Quando há entrada não confiável, a configuração do parser importa mais do que o validador. Desative explicitamente a resolução de entidades externas e o processamento de DTD na linguagem que você usa — defusedxml em Python, LIBXML_NONET em PHP, processamento seguro em Java — porque vários parsers populares ainda resolvem entidades por padrão, e é no padrão que a vulnerabilidade mora.