Java常用XML处理类库与JAXP

JAXP够用但有局限：作为规范接口层，其默认配置保守，不校验DTD、不防护外部实体、不支持流式写入，小数据量解析可行，安全与性能场景需补充配置或换用SAX/StAX等方案。

Java原生JAXP到底够不够用

JAXP（Java API for XML Processing）不是具体实现，而是规范接口层，底层依赖厂商实现（如Xerces、JDK内置的Apache Xalan）。它提供DocumentBuilder、SAXParser、Transformer等统一入口，但默认配置保守：不校验DTD

、不启用外部实体防护、不支持流式写入大型XML。日常小数据量解析没问题，一旦涉及安全、性能或复杂转换，就得补足。

DOM解析内存爆掉时该换什么

用DocumentBuilder.parse()加载几百MB XML会直接OOM，因为DOM必须把整个树载入内存。此时应切换到SAX或StAX：

• SAXParser是事件驱动，无内存压力，但需手动维护状态，适合只读提取字段（如遍历所有）
• XMLStreamReader（StAX）更灵活，可进可退，支持部分解析和写入，javax.xml.stream.XMLInputFactory创建后调用createXMLStreamReader()
• 第三方库如jackson-dataformat-xml底层用StAX，API更简洁：XmlMapper.readTree()可选只读根下几层

用XPath取不到节点？检查命名空间和解析器配置

JAXP的DocumentBuilder默认不开启命名空间感知，导致//ns:tag始终返回空。必须显式设置：

DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setNamespaceAware(true); // 关键
DocumentBuilder builder = factory.newDocumentBuilder();

此外，XPath表达式里带前缀（如ns:book）时，必须注册NamespaceContext，否则报XPathExpressionException: Namespace prefix 'ns' not declared。常见错误是只设setNamespaceAware(true)却漏掉上下文绑定。

第三方库选Dom4j还是Jackson XML

Dom4j语法最接近原生DOM，支持XPath 1.0和流式写入，但已多年未更新，对Java 17+模块化支持弱；Jackson XML基于StAX，序列化/反序列化极快，尤其适合POJO ↔ XML互转，但XPath能力弱（需配合JsonNode树操作）。实际选型看场景：

• 需要高频XPath查询 + 手动编辑XML → 用dom4j
• 微服务间XML报文收发 → 用jackson-dataformat-xml，搭配@JacksonXmlRootElement
• 处理超大XML且只抽字段 → 直接上XMLStreamReader，别绕路封装

安全方面，所有库都默认禁用外部实体（setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)），但JAXB（已弃用）和老版本Dom4j容易漏配，这点常被忽略。