QXmlStreamEntityResolver Class

詳細な説明

QXmlStreamReader に対し、declared in the internal-set of the DTD ではないエンティティをどのように展開するかを指示するために使用します。

セキュリティ上の考慮事項

エンティティのサイクル

QXmlStreamReader はentities defined in the DTD 内のサイクルのみを検出して拒否し、QXmlStreamEntityResolverインターフェースの実装から展開されたエンティティ内のサイクルは検出しないため、エンティティの解決においてサイクルが生じないよう注意する必要があります。

これは設計上の仕様です。QXmlStreamReader は、具体的なQXmlStreamEntityResolverの実装に処理を委ねています。文字用のXMLエンティティ定義のような静的なマッピングの場合、これは当然保証されるため、バックグラウンドで追跡処理を実行すると、すべてのユーザーにとって処理速度が低下するだけです。

外部入力（信頼できないソースを含む）からエンティティ定義を読み込む場合、状況は興味深いものになります。この場合、実装側では、入力として使用する展開にサイクルが含まれていないことを保証する必要があります。これは単純なグラフ操作であり、線形時間・線形空間で実装可能で、読み込み時に事前に実行できるため、resolveUndeclaredEntity() のパフォーマンスには影響しません。

エンティティ展開の制限

現時点では、このクラスによって解決されたエンティティは、QXmlStreamReader::entityExpansionLimit() のカウント対象には含まれません。これは、Qt XMLの将来のバージョンで変更される可能性があります。

当面の間、外部入力からエンティティ定義を読み込む場合は、拡張の上限を独自に設定する必要があります。サイクル検出の後、最長経路の計算は単純なグラフ操作であり、線形時間・線形空間で実装可能で、読み込み時に前もって実行できるため、resolveUndeclaredEntity() のパフォーマンスにも影響しません。