XPath的unparsed-entity-uri()函数怎么用？

unparsed-entity-uri()函数用于获取XML中未解析实体的URI，如外部图片或音频资源，仅限文档内声明的实体，不支持外部资源访问，现代应用中因安全、可移植性及更优替代方案（如XInclude）而较少使用。

XPath的

unparsed-entity-uri()

函数用于检索未解析实体声明中指定的URI。简单来说，它允许你访问XML文档中声明的外部资源，比如图片、音频等，但这些资源并没有被XML解析器直接解析成DOM树的一部分。

解决方案：

unparsed-entity-uri()

函数接受一个参数：未解析实体的名称。 它返回一个字符串，表示该实体声明中指定的URI。 如果指定的实体不存在，则返回空字符串。

举个例子，假设你有一个XML文档如下：

<?xml version="1.0"?> <!DOCTYPE article [   <!ENTITY logo SYSTEM "images/logo.gif" NDATA GIF> ]> <article>   <title>My Article</title>   <logo src="&logo;"/> </article>

在这个例子中，

logo

是一个未解析的实体，它引用了一个名为

images/logo.gif

的外部图片文件。

NDATA GIF

表示这个实体的数据类型是GIF。

现在，如果你想使用XPath来获取

logo

实体的URI，你可以使用以下表达式：

unparsed-entity-uri('logo')

这个表达式会返回字符串

"images/logo.gif"

。

需要注意的是，

unparsed-entity-uri()

函数只能访问XML文档中声明的实体。它不能访问外部文件系统或网络资源。

为什么

unparsed-entity-uri()

在现代XML处理中不常用？

实际上，在现代XML处理中，

unparsed-entity-uri()

函数的使用频率并不高。这主要是因为：

1. 更好的替代方案: 现代XML处理倾向于使用更灵活和强大的方法来处理外部资源，比如XInclude或XML Schema。这些技术允许你更精确地控制外部资源的加载和处理方式。

2. 安全问题: 未解析实体可能存在安全风险，因为它们允许XML文档引用外部资源。恶意文档可能会利用这一点来访问敏感信息或执行恶意代码。

3. 复杂性: 处理未解析实体需要额外的配置和处理逻辑。相比之下，使用XInclude或XML Schema可以更简单地处理外部资源。

4. 可移植性: 不同XML解析器对未解析实体的支持程度可能不同。这可能会导致XML文档在不同的环境中表现不一致。

如何使用

unparsed-entity-uri()

处理动态生成的XML？

动态生成的XML可能会在运行时包含不同的实体声明。在这种情况下，你可以使用XPath来动态地获取实体名称，然后使用

unparsed-entity-uri()

函数来获取它们的URI。

例如，假设你的XML文档包含一个名为

resource

的元素，该元素包含一个名为

entityName

的属性，该属性指定了要检索的实体的名称。你可以使用以下XPath表达式来获取该实体的URI：

unparsed-entity-uri(/resource/@entityName)

这个表达式首先选择

resource

元素，然后获取其

entityName

属性的值，最后将该值传递给

unparsed-entity-uri()

函数。

当然，这需要你的XPath引擎支持在函数调用中使用变量。

如何避免

unparsed-entity-uri()

带来的安全风险？

虽然

unparsed-entity-uri()

可能存在安全风险，但你可以采取一些措施来降低这些风险：

1. 限制实体声明: 仅允许在受信任的XML文档中使用实体声明。

2. 验证实体URI: 在使用

   unparsed-entity-uri()

   返回的URI之前，对其进行验证，确保它指向受信任的资源。

3. 使用安全的XML解析器: 选择一个具有良好安全记录的XML解析器，并定期更新它以修复已知的安全漏洞。

4. 禁用外部实体解析: 许多XML解析器允许你禁用外部实体解析。这可以防止XML文档引用外部资源，从而降低安全风险。 具体做法取决于你使用的解析器，例如在Java中使用

   DocumentBuilderFactory

   时，可以设置

   setExpandEntityReferences(false)

   。

5. 使用内容安全策略 (CSP): 如果你的XML文档在Web浏览器中显示，你可以使用CSP来限制可以加载的外部资源的类型。

总的来说，虽然

unparsed-entity-uri()

函数在某些情况下可能很有用，但在现代XML处理中，它通常被更灵活和强大的技术所取代。在使用

unparsed-entity-uri()

函数时，务必注意安全风险，并采取适当的措施来降低这些风险。