Не могу поверить, что я не могу легко найти эту информацию, поэтому:
1) Какие символы не могут быть включены в атрибут XML без сущности-кодировки?
Очевидно, вам нужно закодировать кавычки. Как насчет <
и >
? Что еще?
2) Где именно находится официальный список?