清理/清理 xpath 属性

Question

我需要动态构建元素属性的 XPath 查询，其中属性值由用户提供。 我不确定如何清理或清理该值以防止相当于 SQL 注入攻击的 XPath。 例如（在 PHP 中）：

<?php
function xPathQuery($attr) {
    $xml = simplexml_load_file('example.xml');
    return $xml->xpath("//myElement[@content='{$attr}']");
}

xPathQuery('This should work fine');
# //myElement[@content='This should work fine']

xPathQuery('As should "this"');
# //myElement[@content='As should "this"']

xPathQuery('This\'ll cause problems');
# //myElement[@content='This'll cause problems']

xPathQuery('\']/../privateElement[@content=\'private data');
# //myElement[@content='']/../privateElement[@content='private data']

最后一个特别让人想起以前的 SQL 注入攻击。

现在，我知道事实上会有包含单引号的属性和包含双引号的属性。 由于这些是作为函数的参数提供的，那么清理这些输入的理想方法是什么？

Answer 1

XPath 实际上包含一种安全执行此操作的方法，因为它允许变量引用在表达式中采用 $varname 形式。 PHP SimpleXML 所基于的库提供了一个提供变量的接口，但是这个在您的示例中，未由 xpath 函数公开。

作为一个演示，这实际上是多么简单：

>>> from lxml import etree
>>> n = etree.fromstring('<n a=\'He said "I'm here"\'/>')
>>> n.xpath("@a=$maybeunsafe", maybeunsafe='He said "I\'m here"')
True

这是使用 lxml，一个与底层库相同的 python 包装器SimpleXML，具有类似的 xpath 函数。 布尔值、数字和节点集也可以直接传递。

如果无法切换到功能更强大的 XPath 接口，则给定外部字符串时的解决方法如下（随意适应 PHP）：

def safe_xpath_string(strvar):
    if "'" in strvar:
        return "',\"'\",'".join(strvar.split("'")).join(("concat('","')"))
    return strvar.join("''")

返回值可以直接插入表达式字符串中。 由于这实际上不太可读，因此其行为如下：

>>> print safe_xpath_string("basic")
'basic'
>>> print safe_xpath_string('He said "I\'m here"')
concat('He said "I',"'",'m here"')

注意，您不能在 XML 文档外部以 ' 形式使用转义，通用 XML 序列化例程也不适用。 但是，XPath concat 函数可用于在任何上下文中创建包含两种类型的引号的字符串。

PHP 变体：

function safe_xpath_string($value)
{
    $quote = "'";
    if (FALSE === strpos($value, $quote))
        return $quote.$value.$quote;
    else
        return sprintf("concat('%s')", implode("', \"'\", '", explode($quote, $value)));
}

Answer 2

function xPathQuery($attr) {
    $xml = simplexml_load_file('example.xml');
    $to_encode = array('&', '"');
    $to_replace = array('&','"');
    $attr = replace($to_encode, $to_replace, $attr);
    return $xml->xpath("//myElement[@content=\"{$attr}\"]");
}

好的，它有什么作用？

它对所有出现的 & 进行编码。 和 " 作为字符串中的 & 和 "，这应该为您提供用于该特定用途的安全选择器。请注意，我还用 " 替换了 xpath 中的内部 '。 编辑：后来有人指出 ' 可以转义为 '，因此您可以使用您喜欢的任何字符串引用方法。

Answer 3

我将使用 DOM 创建一个单元素 XML 文档，使用 DOM 将元素的文本设置为提供的值，然后从 DOM 的 XML 字符串表示形式中获取文本。 这将保证所有角色转义都正确完成，而不仅仅是我偶然想到的角色转义。

编辑：我在这种情况下使用 DOM 的原因是编写 DOM 的人已经阅读了 XML 推荐，而我没有（至少，没有像他们那样谨慎）。 举一个简单的例子，如果文本包含 XML 不允许的字符（如 #x8），DOM 将报告解析错误，因为 DOM 的作者已经实现了 XML 建议的第 2.2 节。

现在，我可能会说，“好吧，我只需从 XML 建议中获取无效字符列表，然后将它们从输入中删除即可。” 当然。 让我们看看 XML 建议，然后...嗯，Unicode 代理块到底是什么？ 我必须编写什么样的代码才能摆脱它们？ 他们能首先进入我的文本吗？

假设我弄清楚了。 XML 建议如何指定字符表示形式是否还有我不知道的其他方面？ 大概。 这些会对我想要实施的事情产生影响吗？ 或许。

如果我让 DOM 为我进行字符编码，我就不必担心任何这些事情。