XML的external parsed entity怎么声明？-XML/RSS教程-PHP中文网

XML的external parsed entity怎么声明？

星降

发布： 2025-07-28 18:36:02

原创

380人浏览过

xml external parsed entity的声明通过dtd定义外部资源引用，主要方式有：1. 内部dtd声明，直接在文档中用<!entity ext system "external.xml">定义并引用&ext;；2. 外部dtd文件声明，将dtd存于独立文件并通过<!doctype root system "external.dtd">引用；3. 使用public标识符结合system定位标准dtd，如xhtml示例；4. ndata用于非xml数据，需配合notation声明，如图片资源；5. 参数实体用于dtd内部条件编译，以%符号定义和使用。其主要安全风险是xxe攻击，攻击者可利用file://等协议读取敏感文件，如/etc/passwd，解决方案包括禁用dtd解析、使用安全解析器、输入验证、最小权限原则。调试方法包括：1. 使用xmllint等工具验证xml结构；2. 查看解析器日志定位错误；3. 利用调试器跟踪解析过程；4. 逐步简化文档定位问题；5. 使用wireshark监控网络请求；6. 检查文件读取权限；7. 统一使用utf-8编码避免字符问题。

XML的external parsed entity怎么声明？

XML external parsed entity的声明，简单来说，就是告诉XML解析器，去哪里找额外的XML片段来填充当前文档。这就像给你的XML文档加个外卖链接，让它自己去“取餐”。

解决方案：

XML external parsed entity的声明，主要涉及到DTD（Document Type Definition）中的ENTITY声明。以下是声明和使用external parsed entity的几种方式，以及一些需要注意的点：

内部DTD声明：

在XML文档内部直接声明DTD，并定义ENTITY。

<!DOCTYPE root [
  <!ENTITY ext SYSTEM &quot;external.xml&quot;>
]>
<root>
  &amp;ext;
</root>

登录后复制

这里的<!ENTITY ext SYSTEM "external.xml">就是声明了一个名为ext的external parsed entity，它指向external.xml文件。 &ext; 则是对这个entity的引用，解析器会将external.xml的内容插入到这里。

外部DTD文件声明：

将DTD定义放在一个单独的文件中，然后在XML文档中引用它。

external.dtd 文件内容：

<!ENTITY ext SYSTEM &quot;external.xml&quot;>

登录后复制

XML文档内容：

<!DOCTYPE root SYSTEM "external.dtd">
<root>
  &amp;ext;
</root>

登录后复制

这里的<!DOCTYPE root SYSTEM "external.dtd">告诉解析器去external.dtd文件中查找DTD定义。

PUBLIC标识符（可选）：

除了SYSTEM标识符，还可以使用PUBLIC标识符。PUBLIC标识符通常用于引用标准化的DTD。

<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd">
<html xmlns="http://www.w3.org/1999/xhtml">
  ...
</html>

登录后复制

在这个例子中，PUBLIC标识符是-//W3C//DTD XHTML 1.0 Transitional//EN，SYSTEM标识符是http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd。解析器可能会使用PUBLIC标识符来查找本地缓存的DTD，如果找不到，则使用SYSTEM标识符指定的URL。当然，你也可以自定义PUBLIC标识符，但这通常用于更复杂的场景。

ENTITY声明中的NDATA：

如果external entity包含的是非XML数据（例如图片），则需要使用NDATA声明。

<!ENTITY logo SYSTEM "logo.png" NDATA png>
<!NOTATION png SYSTEM "image/png">

登录后复制

这里的NDATA png表示logo entity包含的是PNG格式的非XML数据。 <!NOTATION png SYSTEM "image/png"> 定义了png notation，告诉解析器如何处理这种类型的数据。注意，NDATA entity不能直接在XML文档中使用&logo;引用，通常需要通过特定的应用程序或XSLT处理。

参数实体（Parameter Entities）：

参数实体用于DTD内部，可以简化DTD的编写。

<!ENTITY % myparameter "INCLUDE">
<![%myparameter;[
  <!ELEMENT myelement (#PCDATA)>
]]>

登录后复制

这里的<!ENTITY % myparameter "INCLUDE">定义了一个名为myparameter的参数实体，它的值是INCLUDE。 <![%myparameter;[ ... ]]> 表示只有当myparameter的值是INCLUDE时，<!ELEMENT myelement (#PCDATA)>才会被解析。这可以用来实现DTD的条件编译。

XML external parsed entity有什么安全风险？

人声去除

用强大的AI算法将声音从音乐中分离出来

查看详情

XML external parsed entity的安全风险主要来自于XXE（XML External Entity）攻击。攻击者可以通过构造恶意的XML文档，利用ENTITY声明来读取服务器上的敏感文件，执行任意代码，甚至发起拒绝服务攻击。

例如，一个恶意的XML文档可能包含以下内容：

<!DOCTYPE foo [
  <!ENTITY xxe SYSTEM "file:///etc/passwd">
]>
<foo>
  <bar>&xxe;</bar>
</foo>

登录后复制

如果XML解析器没有正确配置，它会尝试读取/etc/passwd文件，并将内容插入到<bar>元素中。这可能导致敏感信息泄露。

为了防范XXE攻击，应该采取以下措施：

禁用DTD和external entity解析： 这是最有效的防御手段。在XML解析器中禁用DTD和external entity解析，可以阻止攻击者利用ENTITY声明来执行恶意操作。
使用安全的XML解析器： 选择经过安全审计的XML解析器，并及时更新到最新版本。
输入验证和过滤： 对XML输入进行严格的验证和过滤，防止攻击者注入恶意代码。
最小权限原则： 运行XML解析器的用户应该只具有执行必要操作的最小权限。

如何调试XML external parsed entity？

调试XML external parsed entity可能比较棘手，因为错误可能发生在XML文档、DTD文件或external entity文件中。以下是一些常用的调试技巧：

使用XML验证器： XML验证器可以检查XML文档是否符合DTD或Schema的定义。可以使用在线验证器或本地安装的验证工具，例如xmllint。
```
xmllint --valid your_document.xml
```
登录后复制
如果XML文档存在错误，验证器会给出详细的错误信息，帮助你找到问题所在。
查看解析器日志： XML解析器通常会记录解析过程中的错误和警告信息。查看解析器日志可以帮助你了解解析器在处理external entity时遇到了什么问题。日志的位置和格式取决于你使用的XML解析器。
使用调试器： 如果你的代码中使用了XML解析器，可以使用调试器来跟踪解析过程。在解析器遇到external entity时，可以暂停执行，查看当前的状态和变量值，帮助你理解解析器的行为。
逐步简化： 如果XML文档非常复杂，可以逐步简化它，每次删除一部分内容，直到找到导致错误的最小示例。这可以帮助你缩小问题的范围，更容易找到错误所在。
网络监控： 如果external entity是通过HTTP或HTTPS协议访问的，可以使用网络监控工具（例如Wireshark）来查看网络流量。这可以帮助你确定解析器是否成功地获取了external entity，以及是否存在网络问题。
检查文件权限： 确保XML解析器具有读取external entity文件的权限。如果解析器没有权限读取文件，会导致解析失败。
字符编码： 确保XML文档、DTD文件和external entity文件使用相同的字符编码。如果字符编码不一致，会导致解析错误。建议使用UTF-8编码。