Hoje, outro desenvolvedor conversou comigo sobre como ele abordou um problema no qual ele estava trabalhando. A solução encontrada por ele foi inserir uma cadeia de XML com escape no atributo de outro elemento XML. Na minha cabeça eu estava gritando "Isso é seguro e sábio para fazer ???". Segundo ele, isso foi feito em toneladas de outros projetos dentro da empresa que transmitem XML de um lado para o outro.
Se não, devo mencionar isso? eu tenho só foi com a empresa por 2 anos e tenho notado muitas coisas que estão apenas pedindo uma grande catástrofe acontecer um dia (ambos e não em projetos em que trabalho). Eu não quero ser aquele que sempre diz que eles estão fazendo coisas erradas ...
FYI - INFORMAÇÕES ATUALIZADAS RE: APLICATIVO - O Flash está chamando essa API e analisando o XML que recebe na resposta. Eu não acho que o Flash está usando XPath ou qualquer coisa, apenas a análise de string (mas eu posso estar errado). Eu não trabalho no aspecto Flash, então não sei onde procurar (nem eu entenderia).
Se você escapar corretamente do XML interno, isso pode funcionar. Eu não vou apostar em quanto tempo antes que você encontre problemas estranhos com a fuga, no entanto.