「NetscapeがRSS0.91のDTDファイルを削除してしまう」記事へのコメント

DTD の必要性

[Anonymous Coward]

> RSSの構造をDTDを参照して調べるようなRSSリーダには不具合が出るかもしれない

細かな話ですが。

http://slashdot.org/comments.pl?sid=216818&cid=17602710 に書いてあるように、DTD では実態参照の定義も行われます。換言すると、XML 内のテキスト要素を扱うだけであっても DTD の知識が必要です。
なので、今回の話は、汎用性のあるまともな XML パーサを使っている RSS リーダー全般で起こりうる問題だと思います。

Re:DTD の必要性

[yoshidam (2385)]

インターネット経由での外部解析対象実体の取り込みは，
セキュリティホールになりうるので，避けたほうがいいと思われます。

DTDを必要とする場合はアプリケーション内部に持つべきでしょう。

Re:DTD の必要性

[Anonymous Coward]

> インターネット経由での外部解析対象実体の取り込みは，
> セキュリティホールになりうるので，避けたほうがいいと思われます。

どのような場合にセキュリティ上の問題が発生するのでしょうか？

ふつうに開発している限りにおいては、XML パーサが実体参照を解決した後にアプリケーション側で取り扱うことになるでしょうから、なんら問題はないように思えます。
＃それとも、何か別の話？

Re:DTD の必要性

[yoshidam (2385)]

XXE (Xml eXternal Entity) Attack と呼ばれるようです。

http://www.securiteam.com/securitynews/6D0100A5PU.html [securiteam.com]