XML注入攻击

Question

防止XML注入攻击的最佳方法是什么？我想使用参数化，但是没有像SQL这样的东西，所以我必须构建一个。我只是想知道构建它的最好方法是什么，我应该清理什么。

更新

对不起，这是给XPath的。我正在写一个快速函数来删除所有的单引号和双引号，但是有没有更好的方法呢？

Answer 1

许多XPath处理器/API允许您在表达式中使用变量，因此您可以编写例如//A[@status=$param]，其中$param的值由调用代码提供。如果你可以使用它，那就去做，因为它可以防止所有的注入攻击。它也可能比使用字符串连接构造表达式更有效，因为它只需要编译一次。