实体引用通过简短字符串代表长内容或特殊字符，提升XML文档可读性与安全性。1. 字符实体引用支持Unicode字符的数值表示；2. 预定义实体引用处理<、>等有特殊含义的字符；3. 数值实体引用以十进制或十六进制代码表示字符；4. 内部实体引用在DTD中定义，简化重复文本输入，如<!ENTITY copyright "© 2023 Your Company">，使用时写作©right;；5. 外部实体引用通过SYSTEM"URI"引入外部资源，提升模块化但存在XXE安全风险，可能被利用读取敏感文件或发起拒绝服务攻击，需谨慎启用并加强验证。
XML 实体引用本质上就是一种快捷方式，让你在 XML 文档中用一个简短的字符串来代表更长的内容，或者是一些特殊字符。这样可以避免重复输入，提高可读性，也能处理一些 XML 中直接输入有问题的字符。
实体引用主要分为五种：字符实体引用、预定义实体引用、数值实体引用、内部实体引用和外部实体引用。
字符实体引用允许你在 XML 文档中使用 Unicode 字符集中任何字符的数值表示。预定义实体引用是 XML 规范中预先定义好的几个实体，用于表示一些特殊的字符，比如小于号、大于号等。数值实体引用是用数字代码来表示字符，可以是十进制或十六进制。内部实体引用是在 XML 文档内部定义的实体，可以引用文档内部的文本。外部实体引用则引用的是 XML 文档外部的文件或资源。
为什么在 XML 中需要使用实体引用？
XML 中使用实体引用，一方面是为了简化文档的编写，避免重复输入相同的文本内容。另一方面，也是为了处理 XML 文档中一些特殊字符，比如小于号（<）和大于号（>），这些字符在 XML 中有特殊的含义，如果直接使用可能会导致解析错误。使用实体引用可以安全地表示这些字符。此外，实体引用还可以用来引用外部资源，比如图片、文本文件等，方便文档的组织和管理。
想象一下，你需要在 XML 文档中多次使用一段很长的公司名称，如果没有实体引用，每次都得完整输入一遍，不仅麻烦还容易出错。有了实体引用，你只需要定义一个实体，比如
<!ENTITY company "你的公司全称">，然后在文档中需要使用公司名称的地方，直接使用
&company;就可以了。
如何正确定义和使用内部实体引用？
内部实体引用是在 XML 文档的文档类型定义（DTD）中定义的。定义内部实体的语法是
<!ENTITY 实体名称 "实体值">。例如，要定义一个名为 "copyright" 的实体，其值为 "© 2023 Your Company"，可以这样写：
<!ENTITY copyright "© 2023 Your Company">。
使用内部实体引用时，只需要在 XML 文档中使用
&实体名称;的形式即可。例如，要在文档中显示版权信息，可以使用
©right;。
需要注意的是，实体名称是区分大小写的。另外，实体值中不能包含未转义的 '<' 或 '&' 字符，否则会导致解析错误。如果实体值中需要包含这些字符，需要使用预定义的实体引用进行转义，比如
<表示 '<'，
&表示 '&'。
外部实体引用有哪些应用场景和安全风险？
外部实体引用允许 XML 文档引用外部的文件或资源。定义外部实体的语法是
<!ENTITY 实体名称 SYSTEM "URI">。其中，"URI" 是外部资源的统一资源标识符。例如，要引用一个名为 "externalFile.txt" 的外部文件，可以这样写：
<!ENTITY myFile SYSTEM "externalFile.txt">。
使用外部实体引用时，同样使用
&实体名称;的形式。例如，要将外部文件的内容插入到 XML 文档中，可以使用
&myFile;。
外部实体引用有很多应用场景。例如，可以将 XML 文档的某些部分存储在单独的文件中，然后使用外部实体引用将其包含到主文档中。这可以提高文档的可维护性和可重用性。另外，外部实体引用还可以用来引用图片、音频、视频等外部资源。
然而，外部实体引用也存在安全风险，特别是当 XML 文档处理不受信任的外部数据时。其中最常见的风险是 XML 外部实体注入（XXE）攻击。攻击者可以通过构造恶意的 XML 文档，利用外部实体引用来读取服务器上的敏感文件，执行任意代码，甚至进行拒绝服务攻击。
为了防范 XXE 攻击，应该尽量避免使用外部实体引用，或者禁用 XML 解析器的外部实体解析功能。如果必须使用外部实体引用，应该对外部资源进行严格的验证和过滤，确保其安全性。
