XML本身不能运行脚本，它只是纯数据格式；所谓“执行”实为外部程序解析时主动操作，风险源于解析器配置不当（如开启外部实体），而非XML规范本身。
XML 文件本身不能运行脚本，也不具备执行能力
XML 是一种纯数据格式，和 JSON、YAML 一样，只负责结构化地描述信息。它没有解析器内置的执行逻辑，也不会自动触发
、
或任何系统调用。所谓“XML 运行脚本”，其实是外部程序（比如浏览器、Java 应用、Python 脚本）在读取 XML 后，根据其中内容主动去执行某些操作——责任不在 XML，而在读它的代码。
为什么有人觉得 XML “能执行脚本”？常见误解来源
这种错觉通常来自几个典型场景，本质都是 XML 被当成了“配置+指令”的混合体：
某些老版 Web 应用（如早期 IE）支持
，配合
协议或内联
evalexecXML Data Islandsjavascript: