是htmlspecialchars足夠在HTTP響應中轉義XML元素內容嗎？

我正在返回一個UTF-8 XML響應，並且一些元素具有用戶提供的內容，所以我必須確保它們已正確轉義。足夠使用htmlspecialchars(..., ENT_COMPAT, 'UTF-8')來正確轉義XML元素文本？是htmlspecialchars足夠在HTTP響應中轉義XML元素內容嗎？

來源

2009-06-18 Remus Rusanu

我不確定我是否明白... 你想要xml裏面的html或html裏面的xml嗎？如果是後者，爲什麼不使用CDATA？

例如

<xmlelement> 
    <![CDATA[<span>John Smith</span>]]> 
</xmlelement>

來源

2009-06-18 07:32:16

它是一個text/xml響應，沒有html。 ''是用戶提供的，所以即使對於CDATA，我也必須確保惡意用戶不輸入']]'以避免任何xss或類似的東西。 – 2009-06-18 08:04:20

http://www.w3.org/TR/2008/REC-xml-20081126/

2.2字符 ...

[2] Char ::= #x9 | #xA | #xD | [#x20-#xD7FF] | [#xE000-#xFFFD] | [#x10000-#x10FFFF] /* any Unicode character, excluding the surrogate blocks, FFFE, and FFFF. */

所以這告訴你，有沒有方法來存儲在低位區域<爲0x20無標籤，CR，LF字符。另外，xml解析器必須規範行提要。它必須將CR LF轉換爲LF等等。

因此，既不允許在XML中傳輸二進制字符串的正常節點也不允許CDATA節。如果你想運輸它，你必須將它轉換爲base64或運輸是數字列表。

來源

2009-06-18 09:07:36 Totonga

是htmlspecialchars足夠在HTTP響應中轉義XML元素內容嗎？

回答

相關問題