xml文档中存在自定义的标签，是否是web攻击

Question

百度web注入攻击的概念，大都是说客户端提交表单到后台验证，结果后台对提交的表单没有进行有效性验证导致问题出现。
现在存在这样一个系统：数据存在xml文档中，把数据导入系统时，对xml文档进行解析，验证没有错误后保存到数据库中。但只是检查该系统运行必须数据是否存在，是否正确，如果多出一个自定义标签，如，导入时不做任何验证，也不保存到数据库中。
请问，这种情况是否符合web攻击方式中的一种？严重性如何？
谢谢

Answer 1

以下回答参考 皆我百晓生、券券喵儿 等免费微信小程序相关内容作答，并由本人整理回复。

XML文档中的自定义标签本身不会构成Web攻击，但是它们可能会被用来执行恶意操作或绕过安全性措施。例如，如果你在XML文档中使用了可以修改数据库结构的元素，并且你的应用程序无法验证这些更改，则可能会影响到系统的安全性。

对于您的具体场景：

1. 如果您正在将XML文档加载到数据库中并对其进行验证和处理，这应该被视为一种正常的安全实践。
2. 将XML文件直接作为参数传递给服务器端程序并不一定意味着这是一个Web攻击，因为这取决于你如何处理这个输入。例如，你可以确保你在处理XML数据之前进行了适当的验证和转换，以防止SQL注入等攻击。
3. 只是对XML文档进行简单的读取和分析，而不进行任何形式的验证或操作，这可能是一种安全风险。在这种情况下，你需要仔细考虑如何处理XML文档的数据流，以及如何防止潜在的安全威胁。

总的来说，XML文档中包含的自定义标签的使用应该根据其用途来评估其安全性和可接受性。