xml external parsed entity的声明通过dtd定义外部资源引用，主要方式有：1. 内部dtd声明，直接在文档中用定义并引用&ext;；2. 外部dtd文件声明，将dtd存于独立文件并通过引用；3. 使用public标识符结合system定位标准dtd，如xhtml示例；4. ndata用于非xml数据，需配合notation声明，如图片资源；5. 参数实体用于dtd内部条件编译，以%符号定义和使用。其主要安全风险是xxe攻击，攻击者可利用file://等协议读取敏感文件，如/etc/passwd，解决方案包括禁用dtd解析、使用安全解析器、输入验证、最小权限原则。调试方法包括：1. 使用xmllint等工具验证xml结构；2. 查看解析器日志定位错误；3. 利用调试器跟踪解析过程；4. 逐步简化文档定位问题；5. 使用wireshark监控网络请求；6. 检查文件读取权限；7. 统一使用utf-8编码避免字符问题。
XML external parsed entity的声明，简单来说，就是告诉XML解析器，去哪里找额外的XML片段来填充当前文档。这就像给你的XML文档加个外卖链接，让它自己去“取餐”。
解决方案：
XML external parsed entity的声明，主要涉及到DTD（Document Type Definition）中的ENTITY声明。以下是声明和使用external parsed entity的几种方式，以及一些需要注意的点：
- 内部DTD声明：
在XML文档内部直接声明DTD，并定义ENTITY。
<!DOCTYPE root [ <!ENTITY ext SYSTEM "external.xml"> ]> <root> &ext; </root>
这里的就是声明了一个名为ext的external parsed entity，它指向external.xml文件。 &ext; 则是对这个entity的引用，解析器会将external.xml的内容插入到这里。
- 外部DTD文件声明：
将DTD定义放在一个单独的文件中，然后在XML文档中引用它。
- external.dtd 文件内容：
<!ENTITY ext SYSTEM "external.xml">
- XML文档内容：
<!DOCTYPE root SYSTEM "external.dtd"> <root> &ext; </root>
这里的告诉解析器去external.dtd文件中查找DTD定义。
- PUBLIC标识符（可选）：
除了SYSTEM标识符，还可以使用PUBLIC标识符。PUBLIC标识符通常用于引用标准化的DTD。
<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"> ... </html>
在这个例子中，PUBLIC标识符是-//W3C//DTD XHTML 1.0 Transitional//EN，SYSTEM标识符是http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd。 解析器可能会使用PUBLIC标识符来查找本地缓存的DTD，如果找不到，则使用SYSTEM标识符指定的URL。 当然，你也可以自定义PUBLIC标识符，但这通常用于更复杂的场景。
- ENTITY声明中的NDATA：
如果external entity包含的是非XML数据（例如图片），则需要使用NDATA声明。
<!ENTITY logo SYSTEM "logo.png" NDATA png> <!NOTATION png SYSTEM "image/png">
这里的NDATA png表示logo entity包含的是PNG格式的非XML数据。 定义了png notation，告诉解析器如何处理这种类型的数据。 注意，NDATA entity不能直接在XML文档中使用&logo;引用，通常需要通过特定的应用程序或XSLT处理。
- 参数实体（Parameter Entities）：
参数实体用于DTD内部，可以简化DTD的编写。
<!ENTITY % myparameter "include"> <![%myparameter;[ <!ELEMENT myelement (#PCDATA)> ]]>
这里的定义了一个名为myparameter的参数实体，它的值是INCLUDE。 表示只有当myparameter的值是INCLUDE时，才会被解析。 这可以用来实现DTD的条件编译。
XML external parsed entity有什么安全风险？
XML external parsed entity的安全风险主要来自于XXE（XML External Entity）攻击。 攻击者可以通过构造恶意的XML文档，利用ENTITY声明来读取服务器上的敏感文件，执行任意代码，甚至发起拒绝服务攻击。
例如，一个恶意的XML文档可能包含以下内容：
<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> <foo> <bar>&xxe;</bar> </foo>
如果XML解析器没有正确配置，它会尝试读取/etc/passwd文件，并将内容插入到
为了防范XXE攻击，应该采取以下措施：
- 禁用DTD和external entity解析： 这是最有效的防御手段。 在XML解析器中禁用DTD和external entity解析，可以阻止攻击者利用ENTITY声明来执行恶意操作。
- 使用安全的XML解析器： 选择经过安全审计的XML解析器，并及时更新到最新版本。
- 输入验证和过滤： 对XML输入进行严格的验证和过滤，防止攻击者注入恶意代码。
- 最小权限原则： 运行XML解析器的用户应该只具有执行必要操作的最小权限。
如何调试XML external parsed entity？
调试XML external parsed entity可能比较棘手，因为错误可能发生在XML文档、DTD文件或external entity文件中。 以下是一些常用的调试技巧：
-
使用XML验证器： XML验证器可以检查XML文档是否符合DTD或Schema的定义。 可以使用在线验证器或本地安装的验证工具，例如xmllint。
xmllint --valid your_document.xml
如果XML文档存在错误，验证器会给出详细的错误信息，帮助你找到问题所在。
-
查看解析器日志： XML解析器通常会记录解析过程中的错误和警告信息。 查看解析器日志可以帮助你了解解析器在处理external entity时遇到了什么问题。 日志的位置和格式取决于你使用的XML解析器。
-
使用调试器： 如果你的代码中使用了XML解析器，可以使用调试器来跟踪解析过程。 在解析器遇到external entity时，可以暂停执行，查看当前的状态和变量值，帮助你理解解析器的行为。
-
逐步简化： 如果XML文档非常复杂，可以逐步简化它，每次删除一部分内容，直到找到导致错误的最小示例。 这可以帮助你缩小问题的范围，更容易找到错误所在。
-
网络监控： 如果external entity是通过HTTP或https协议访问的，可以使用网络监控工具（例如Wireshark）来查看网络流量。 这可以帮助你确定解析器是否成功地获取了external entity，以及是否存在网络问题。
-
检查文件权限： 确保XML解析器具有读取external entity文件的权限。 如果解析器没有权限读取文件，会导致解析失败。
-
字符编码： 确保XML文档、DTD文件和external entity文件使用相同的字符编码。 如果字符编码不一致，会导致解析错误。 建议使用UTF-8编码。
