XML とは？

HTMLはWebブラウザで表示するための言語でタグが決まっている。XMLはデータ交換のための言語でタグを自由に定義できる。「Ken25」のように独自のタグ構造を作れる。

レガシーシステムとの互換性・スキーマバリデーション（XSD）・変換（XSLT）・名前空間など高度な機能があるから。大企業・官公庁・金融機関のシステムはXMLベースのものが多く、まだまだ現役。

拡張子.xmlのファイルはそのまま。Word（.docx）・Excel（.xlsx）・PowerPointなどのOffice形式も実はZIP+XMLで構成されている。Javaプロジェクトのpom.xml（Maven設定）・AndroidのManifest.xml・RSSフィードなど。

JSONに比べると冗長で扱いが面倒なのは確か。DOMパーサ（全部メモリに読み込む）とSAXパーサ（ストリーミングで処理）の2種類があって、大きなXMLファイルはDOMだとメモリ不足になる。Pythonならxml.etree.ElementTreeが比較的簡単に使えるよ。

XXE（XML External Entity）攻撃が有名で、OWASP Top 10にも入っている脆弱性だよ。XMLには外部エンティティを参照する機能があって、悪意あるXMLを処理させるとサーバのローカルファイルを読み取られたりSSRFを引き起こされたりする。対策はXMLパーサの外部エンティティ処理を無効化すること。最近はAPIでJSONを使うケースが多いけど、SOAPやSAMLのようなXMLベースのプロトコルを扱うときは注意が必要だよ。