xml_set_external_entity_ref_handler()

Die Funktion xml_set_external_entity_ref_handler() ist eine integrierte PHP-Funktion, die einen benutzerdefinierten Callback als Handler für externe Entitätsreferenzen in einem veralteten SAX-XML-Parser festlegt. Sie ist nützlich, wenn Sie externe Entitäten, die in einem XML-Dokument referenziert werden, abfangen und verarbeiten müssen, z. B. zum Laden externer Daten aus einer Datenbank oder zur Durchführung benutzerdefinierter Validierungen.

Syntax

Die Syntax der Funktion xml_set_external_entity_ref_handler() lautet wie folgt:

Syntax der Funktion xml_set_external_entity_ref_handler() in PHP

xml_set_external_entity_ref_handler($parser, $handler)

Dabei ist $parser der XML-Parser, für den der Handler festgelegt wird, und $handler der Name der benutzerdefinierten Funktion, die externe Entitätsreferenzen verarbeitet.

Anwendungsbeispiele

Im Folgenden finden Sie ein praktisches Beispiel zur Verwendung von xml_set_external_entity_ref_handler() in PHP.

Beispiel: Festlegen einer Handler-Funktion für externe Entitätsreferenzen

Nehmen wir an, Sie verfügen über ein XML-Dokument, das externe Entitäten referenziert, und möchten es mit dem veralteten SAX-Parser in PHP analysieren. Sie können die Funktion xml_parser_create() verwenden, um einen neuen XML-Parser zu erstellen, einen Handler für externe Entitätsreferenzen mit xml_set_external_entity_ref_handler() festzulegen und anschließend die Daten zu analysieren:

Festlegen einer Handler-Funktion für externe Entitätsreferenzen in PHP

function handle_external_entity_ref($parser, $open_entity_names, $base, $system_id, $public_id) {
    // Process the external entity reference
    echo "External entity found: $system_id\n";
}

$xml_parser = xml_parser_create();
xml_set_external_entity_ref_handler($xml_parser, "handle_external_entity_ref");

// Parse XML data (the handler is invoked when an external entity is encountered)
$xml_data = '<!DOCTYPE foo [<!ENTITY xxe SYSTEM "http://example.com/data">]><foo/>';
xml_parse($xml_parser, $xml_data);
xml_parser_free($xml_parser);

⚠️ Sicherheitshinweis: Das Verarbeiten externer Entitäten ist ein häufiger Angriffsvektor für XML-External-Entity-(XXE)-Angriffe. Validieren und beschränken Sie externe Entitätsreferenzen stets, vermeiden Sie das Laden lokaler Dateien und erwägen Sie für sicherheitskritische Anwendungen die Verwendung moderner XML-Bibliotheken (wie DOMDocument mit entsprechenden Sicherheitsoptionen) anstelle des veralteten SAX-Parsers.

Fazit

In diesem Artikel haben wir die PHP-Funktion xml_set_external_entity_ref_handler() und deren Verwendung zur Festlegung eines Handlers für externe Entitätsreferenzen in einem veralteten SAX-XML-Parser besprochen. Wir haben die Syntax erläutert und ein vollständiges Beispiel bereitgestellt, das zeigt, wie der Callback während der Analyse aufgerufen wird. Durch die Verwendung dieser Funktion können Sie externe Entitätsreferenzen abfangen und benutzerdefinierte Aktionen ausführen, wobei Sie jedoch stets Vorsicht walten lassen sollten, um XXE-Sicherheitslücken zu vermeiden.

Practice

Welche Funktion in PHP wird verwendet, um eine externe Entitätsreferenz für XML-Dateien zu erstellen?

xml_set_external_entity_ref_handler()xml_create_external_entity_ref()create_xml_entity_ref()xml_set_entity_ref()