应优先使用nokogiri.parse替代rexml，因其默认禁用外部实体；若必须用rexml，需手动设置entity_expansion_text_limit；解析前须校验编码、清除bom、声明命名空间，并用安全导航提取字段。
Ruby标准库怎么安全解析XML字符串
直接用 REXML::Document.new 解析不可信的XML会触发XXE攻击，比如外部实体加载、内存爆炸式膨胀。Rails默认不开启防护，得自己补。
- 优先用
Nokogiri.parse替代REXML，它默认禁用外部实体，且支持更严格的解析选项 - 若必须用
REXML，需手动关闭实体解析：REXML::Document.new(xml, :entity_expansion_text_limit => 10_000) - 永远别对用户输入或第三方API响应直接调用
.parse，先做白名单过滤或长度截断 - 示例：
Nokogiri::XML("<root><?xml version='1.0'?> ]><x>&foo;</x></root>")不会读取文件，而REXML::Document.new默认会
Rails里怎么处理HTTP返回的XML响应
Rails 7+ 默认把 Content-Type: application/xml 自动转成 params 或 request.body，但行为取决于控制器是否启用了 XML 解析中间件。
- 确认
config.wrap_parameters没有意外覆盖 XML 处理逻辑；检查config/initializers/wrap_parameters.rb是否限制了格式 - 在控制器中显式读取原始XML：
request.body.read，再交给Nokogiri::XML解析，避免 Rails 自动转换干扰结构 - 如果用
ActiveResource（已废弃）或自定义 HTTP 客户端，注意Net::HTTP返回的是字符串，不是自动解析对象，别误以为response.body是哈希 - 常见错误现象：
undefined method `[]' for #<:xml::document:...></:xml::document:...>—— 这是因为你把 Nokogiri 对象当成了 Hash，得用at_xpath或css方法取值
Nokogiri解析后怎么安全提取字段（避免nil错误）
Nokogiri 的 at_xpath 和 css 在节点不存在时返回 nil，直接链式调用 .text 会报 NoMethodError，尤其在解析松散结构的XML时极易翻车。
- 用
&.安全导航：doc.at_xpath('//user/name')&.text&.strip - 更稳的做法是封装提取逻辑：
def safe_text(node); node&.text&.strip.presence || ''; end - 别依赖
to_h—— Nokogiri 没有内置 XML → Hash 转换，第三方 gem（如hash_from_xml）可能忽略命名空间或重复标签 - 遇到带命名空间的XML（比如 SOAP），必须先声明：
doc.remove_namespaces!或用带前缀的XPath：doc.at_xpath('//ns:Item', 'ns' => 'http://example.com/ns')
为什么有时候XML解析结果和curl看到的不一样
不是解析错了，而是HTTP传输层或编码层出了问题。XML对字符编码极其敏感，Content-Type 声明、BOM、实际字节流三者不一致时，Nokogiri 会静默按错误编码解析，导致乱码或解析失败。
- 先确认响应头：
response.headers['Content-Type']是否含; charset=utf-8，没有的话 Nokogiri 可能按 ASCII 解析 - 用
Encoding.default_external = 'UTF-8'统一环境编码，但更推荐在解析时显式指定：Nokogiri::XML(response.body).encoding = 'UTF-8' - 遇到 BOM（尤其是 Windows 记事本保存的XML），用
response.body.sub!("\xEF\xBB\xBF", '')清除 - 调试技巧：打印
response.body.bytes.map { |b| b.to_s(16) }.join(' ')看前几个字节，确认是否含 BOM 或非法控制符
ParserError。
