Kiểm tra XML

Hai mức yêu cầu khác nhau, và đây là mức nào

XML định nghĩa hai mức đúng đắn và người ta thường xuyên nhầm lẫn chúng. Đúng cú pháp (well-formed) nghĩa là tài liệu tuân theo cú pháp riêng của XML: một phần tử gốc, mọi thẻ đều được đóng, lồng nhau đúng, ký tự hợp lệ, dấu & và dấu ngoặc nhọn được thoát đúng cách, giá trị thuộc tính có dấu ngoặc kép, tên thuộc tính không trùng nhau trong một phần tử. Hợp lệ (valid) nghĩa là điều gì đó chặt chẽ hơn — tài liệu còn khớp với một schema cụ thể, với đúng các phần tử theo đúng thứ tự, mang đúng loại giá trị. Trang này kiểm tra mức thứ nhất. Mọi trình phân tích XML đều từ chối tài liệu không đạt mức này, nên đây là phép kiểm tra quyết định file có đọc được hay không.

Các lỗi đều dễ đoán. Dấu & chưa được thoát là phổ biến nhất, bỏ xa các lỗi khác — nó mở đầu một tham chiếu entity, nên một URL có query string dán thẳng vào một phần tử sẽ làm hỏng tài liệu. Dấu < đứng trần trong văn bản cũng vậy. Tiếp theo là thẻ không khớp hoặc không đóng, phần tử đóng sai thứ tự, hai phần tử gốc, và một ký tự điều khiển lạc chỗ mà XML hoàn toàn không cho phép dù nó nằm vô hình trong file.

DTD hay schema được cố ý không bao giờ tải về, và đó là một đặc tính bảo mật chứ không phải một tính năng còn thiếu. Một tài liệu XML có thể khai báo một entity bên ngoài, và trình phân tích nào phân giải nó sẽ đi lấy thứ mà nó trỏ tới — một file trên ổ đĩa, một địa chỉ trong mạng nội bộ. Đó là lỗ hổng XML External Entity, một trong những loại lỗi bị khai thác nhiều nhất, và cách phòng vệ trọn vẹn duy nhất là không phân giải chúng. Vì vậy ở đây không có gì kết nối ra bên ngoài, và cái giá phải trả là việc kiểm tra theo schema nằm ngoài phạm vi.

Thứ bạn nhận được là chính xác dòng và cột nơi việc phân tích dừng lại. Như với mọi trình phân tích, đó là nơi tài liệu không còn hợp lý nữa chứ không phải nơi có lỗi: một thẻ không đóng thường được báo ở thẻ đóng bất ngờ theo sau nó, có khi cách hàng trăm dòng. Vị trí được báo là chỗ để bắt đầu dò ngược lên trên, không phải chỗ để sửa.

Khi bạn cần công cụ khác

Để kiểm tra theo schema, xmllint là công cụ tham chiếu: xmllint --noout --schema schema.xsd file.xml cho XSD, --relaxng cho RELAX NG, và --noout --valid cho DTD. Nó báo mọi vi phạm thay vì dừng ở lỗi đầu tiên, đúng thứ bạn cần khi tài liệu thực sự sai chứ không chỉ bị hỏng cú pháp.

Với bất cứ thứ gì liên quan đến dữ liệu đầu vào không đáng tin, cấu hình trình phân tích quan trọng hơn công cụ kiểm tra. Hãy tắt rõ ràng việc phân giải entity bên ngoài và xử lý DTD trong ngôn ngữ bạn đang dùng — defusedxml trong Python, LIBXML_NONET trong PHP, chế độ xử lý an toàn (secure processing) trong Java — vì nhiều trình phân tích phổ biến vẫn phân giải entity theo mặc định, và mặc định chính là nơi lỗ hổng tồn tại.