XML的字符引用(Character Reference)和实体引用有什么区别？-XML/RSS教程-PHP中文网

字符引用用于表示单个unicode字符，如、&、'、"；4. 自定义实体需在dtd或schema中定义；5. 字符引用不会导致xxe漏洞；6. xxe漏洞源于外部实体引用，应禁用外部实体、使用安全解析器并验证输入以防范风险。

XML的字符引用(Character Reference)和实体引用有什么区别？

XML的字符引用和实体引用都是用于在XML文档中表示特殊字符或重复使用的文本块，但它们的使用方式和适用场景有所不同。简单来说，字符引用用于表示单个Unicode字符，而实体引用用于表示预定义的文本块。

字符引用和实体引用，就像XML这门语言里的两种“暗号”，帮我们表达那些键盘上敲不出来的字符，或者重复使用的文本片段。理解它们的区别，能让你的XML文档更健壮、更易于维护。

字符引用：Unicode的“替身”

字符引用本质上是Unicode字符的“替身”。在XML中，有些字符具有特殊含义（比如

<p>和</p><pre class="brush:php;toolbar:false;">>

），直接使用会导致解析错误。另外，有些字符可能无法直接通过键盘输入。这时，字符引用就派上用场了。

字符引用有两种形式：

十进制形式：

十进制数字;

，例如

 表示小于号 <pre class="brush:php;toolbar:false;">。

十六进制形式：

十六进制数字;

，例如

 也表示小于号 <pre class="brush:php;toolbar:false;">。

它们的作用是将对应的Unicode码点翻译成相应的字符。比如，你可能需要表示版权符号

©

，它的Unicode码点是

U+00A9

，那么你可以使用

©

(十进制) 或

©

(十六进制) 来表示。

使用字符引用的一个典型场景是处理用户输入。假设你的XML文档需要包含用户提交的文本，而用户可能会输入一些包含特殊字符的内容。为了避免解析错误，你应该将这些特殊字符转换为字符引用。

实体引用：文本片段的“快捷方式”

实体引用则更像是一个文本片段的“快捷方式”。它允许你定义一个实体，然后在文档中通过引用该实体来插入预定义的文本。这对于重复使用的文本块非常有用，可以减少冗余，提高可维护性。

实体引用分为两种：

朱雀AI检测

朱雀AI检测是一款AI工具，腾讯推出的AI内容检测助手。

下载

内置实体引用： XML预定义了五个内置实体引用，用于表示常见的特殊字符：
- ```
 表示小于号 <pre class="brush:php;toolbar:false;">
```
- ```
>
```
  表示大于号
```
>
```
- ```
&
```
  表示和号
```
&
```
- ```
'
```
  表示单引号
```
'
```
- ```
"
```
  表示双引号
```
"
```
自定义实体引用： 你可以在XML文档的DTD (Document Type Definition) 或XML Schema中定义自己的实体。例如：
```
  
]>
<document><copyright>&company; All rights reserved.</copyright></document>
```
在这个例子中，我们定义了一个名为
```
company
```
的实体，它的值是 "Acme Corp."。在文档中，我们使用
```
&company;
```
来引用这个实体，最终会被替换为 "Acme Corp."。

何时使用字符引用，何时使用实体引用？

选择使用字符引用还是实体引用，取决于你的具体需求。

使用字符引用： 当你需要表示单个Unicode字符，特别是那些无法直接通过键盘输入或在XML中具有特殊含义的字符时。
使用实体引用： 当你需要重复使用一段文本，或者希望通过一个易于记忆的名称来代表一段复杂的文本时。

当然，这并不是绝对的。有些情况下，你可以根据个人偏好或团队规范来选择。例如，你完全可以使用字符引用来表示小于号

<p>，也可以使用内置实体引用 </p><pre class="brush:php;toolbar:false;"><p>。</p><h3>字符实体引用会导致XXE漏洞吗？</h3><p>字符引用本身不会导致XXE（XML External Entity）漏洞。XXE漏洞是由于XML解析器在处理外部实体时，允许引用外部资源，从而可能导致敏感信息泄露或远程代码执行。</p><p>字符引用只是用于表示单个字符的Unicode码点，不会涉及外部资源的引用。因此，即使XML文档中包含大量的字符引用，也不会增加XXE漏洞的风险。</p><p>真正需要注意的是实体引用，特别是自定义实体引用。如果你的XML解析器配置不当，允许引用外部实体，并且你的XML文档中包含了引用外部资源的实体，那么就可能存在XXE漏洞。</p><p>为了防止XXE漏洞，你应该：</p><ol>
<li>
<strong>禁用外部实体引用：</strong> 在XML解析器的配置中，禁用外部实体引用。</li>
<li>
<strong>使用安全的解析器：</strong> 选择使用安全的XML解析器，这些解析器默认禁用外部实体引用。</li>
<li>
<strong>验证输入：</strong> 对XML文档的输入进行验证，确保不包含恶意实体引用。</li>
</ol><p>总之，理解字符引用和实体引用的区别，并采取适当的安全措施，可以帮助你编写更健壮、更安全的XML文档。</p>