它提供了XPath注入的具体示例,并讨论了防止这种情况的方法.

在“防御XPath注入”一节中,它被说成：

“防御XPath注入基本上类似于防御sql
注射.应用程序必须清理用户输入.具体来说,单和双
引号字符应该被禁止.这可以在应用程序中完成
本身,或在第三方产品(例如应用程序防火墙).
测试应用程序对XPath注入的敏感性可以很容易地执行
注入单引号或双引号,并检查响应.如果有错误
发生了,那么很可能XPath注入是可能的.“

正如其他人所说,人们也应该注意使用轴和//缩写.如果正在使用XPath 2.0,则不应允许doc()函数,因为它允许访问具有已知URI(或文件名)的任何文档.

建议使用预编译XPath表达式的API,但保留它可以使用动态定义的参数或变量.然后,用户输入将仅定义这些参数的内容,并且永远不会将其视为已编译表达式的修改.