StringEscapeUtils.unescapeXml() 仅执行单层解码，无法自动处理嵌套转义（如

`stringescapeutils.unescapexml()` 仅执行单层解码，无法自动处理嵌套转义（如 `<` → `

在使用 Apache Commons Lang3 的 StringEscapeUtils.unescapeXml() 方法时，一个常见误区是认为它能自动“深度解码”多重 XML 实体转义。实际上，该方法严格遵循 XML 规范，每次仅解析最外层一层合法实体。例如字符串 并非标准 XML 中的单个实体，而是将 < 和 > 再次转义为 的结果——即经历了两次 escapeXml() 操作。

因此，直接调用一次 unescapeXml() 仅会把 变成 >，输出为 <errors>；而真正的目标 需要第二次解码才能达成。

✅ 正确做法：迭代解码，直到字符串不再变化（推荐最多 3–5 次以避免无限循环）：

import org.apache.commons.lang3.StringEscapeUtils;

public class XmlUnescapeExample {
    public static String unescapeXmlDeep(String input) {
        if (input == null) return null;
        String result = input;
        String previous;
        int maxIterations = 5;
        for (int i = 0; i ";
        String out = unescapeXmlDeep(error);
        System.out.println(out); // 输出: <errors>
    }
}</errors>

⚠️ 注意事项：

• 不要盲目递归或无限循环解码，应设置最大迭代次数（如 5 次），防止因非法输入（如
• 确保依赖版本 ≥ commons-lang3-3.4（你当前版本已满足），但建议升级至最新稳定版（如 3.12.0+）以获得更完善的边界处理与安全修复；
• 若输入来源可控且已知转义层数（如固定双层），可简化为两次显式调用，但通用场景推荐收敛式迭代；
• 对于 XML 解析场景，优先考虑使用标准 javax.xml.parsers 或 org.jsoup 等专业 XML/HTML 解析器，而非手动字符串解码，以规避实体嵌套、命名空间、CDATA 等复杂问题。

总之，unescapeXml() 是一个精确但“浅层”的工具——理解其设计意图，并辅以合理的迭代策略，才能稳健应对真实世界中常见的多重转义数据。