Атаки XML-инъекций

Question

Каков наилучший способ предотвращения атак с использованием XML-инъекций?Я хочу использовать параметризацию, но нет ничего похожего на SQL, поэтому я должен ее построить.Мне просто интересно, что является лучшим способом построить один, и что я должен очистить.

Обновление

Извините, это для XPath.Я пишу быструю функцию для удаления всех одинарных и двойных кавычек прямо сейчас, но есть ли лучший способ?

Answer 1

Многие процессоры / API XPath позволяют вам использовать переменные в своем выражении, поэтому вы можете написать, например, //A[@status=$param], где значение $param предоставляется вызывающим кодом.Если вы можете использовать это, сделайте, потому что это предотвращает все инъекционные атаки.Это также, вероятно, будет более эффективным, чем создание выражения с использованием конкатенации строк, поскольку его нужно скомпилировать только один раз.