Weak XML Schema: Lax Processing

當 processContents 屬性設為 lax 或 skip 時，則不會對萬用字元元素和屬性進行輸入驗證。

如果結構不進行強制嚴格的輸入驗證，則允許對任意元素或屬性進行驗證。這樣就讓攻擊者得以將惡意文件送到系統中。

範例 1：假設您正使用下列兩種結構進行驗證。

結構 1：

<?xml version="1.0"?>
<xs:schema xmlns:xs="http://www.w3.org/2001/XMLSchema"  >
  <xs:element name="cart" >
    <xs:complexType>
      <xs:sequence>
	<xs:element name="itemID" maxOccurs="1" />
	<xs:any namespace="http://itemInfo" processContents="lax" minOccurs="1" maxOccurs="5"/>
      </xs:sequence>
    </xs:complexType>
  </xs:element>
</xs:schema>

結構 2：

<?xml version="1.0"?>
<xsd:schema targetNamespace="http://itemInfo" xmlns:xsd="http://www.w3.org/2001/XMLSchema" >
  <xsd:element name="name" type="xsd:string"/>
  <xsd:element name="description" type="xsd:string"/>
</xsd:schema>

結構 1 允許 http://itemInfo 命名空間中的任意標籤接受驗證，因此允許下列 XML 通過驗證。

<?xml version=\"1.0\" ?>
<cart xmlns:itemInfo="http://itemInfo">
  <itemID>123</itemID>
  <itemInfo:name>Shoes</itemInfo:name>
  <itemInfo:description>Black Shoes</itemInfo:description>
  <itemInfo:price>1.00</itemInfo:price>
</cart>

上述 XML 包含一個結構 2 中未定義的 itemInfo:price 標籤。因此，有可能誘騙此 XML 文件的使用者將 Shoes 的價格設定為 $1。