Не могу поверить, что я не могу легко найти эту информацию, поэтому:
1) Какие символы не могут быть включены в атрибут XML без сущности-кодировки?
Очевидно, вам нужно закодировать кавычки. Как насчет < и >? Что еще?
2) Где именно находится официальный список?