fiber 默认收不到 xml 原始数据，因其 c.body() 和 c.formvalue() 仅自动解析 application/x-www-form-urlencoded 或 multipart/form-data；对 text/xml 或 application/xml 不做预处理，需手动用 c.request().body() 获取原始字节并配合 defusedxml 安全解析。
为什么 Fiber 默认收不到 XML 原始数据
Fiber 的 c.Body() 和 c.FormValue() 都只针对 application/x-www-form-urlencoded 或 multipart/form-data 自动解析，遇到 text/xml 或 application/xml 会直接跳过——原始体被保留，但你得自己伸手拿。这不是 bug，是设计：Fiber 不预设内容类型，避免为不使用的格式增加开销。
-
c.Body()返回的是已解码的字符串（按请求头Content-Type中的charset），但 XML 声明里的编码（如<?xml version="1.0" encoding="GBK"?>）它不识别，硬解可能乱码 - 如果前端没设
Content-Type，Fiber 会默认当application/octet-stream处理，c.Body()可能为空，此时必须用c.Request().Body()读原始字节流 - 别在同一个 handler 里先调
c.FormValue()再想读 XML——Fiber 内部一旦尝试解析表单，就会消费并清空原始 body
如何安全读取并解析 XML 请求体
核心动作只有两步：拿原始 bytes → 交给 defusedxml（或 encoding/xml）解析。不用中间转 string，避开编码陷阱。
- 用
c.Request().Body()获取*fasthttp.ByteBuffer，再调.Bytes()得到[]byte；不要用c.Body()，它可能已损坏或为空 - XML 带 BOM（如 UTF-8 BOM
\xef\xbb\xbf）时，encoding/xml.Unmarshal()会直接 panic，得先切掉：bytes.TrimPrefix(raw, []byte("\xef\xbb\xbf")) - 必须用
defusedxml替代标准库的encoding/xml，否则存在 XXE 漏洞风险；微信、支付网关等外部 XML 推送尤其不能省这步 - 示例片段：
import (
"bytes"
"github.com/defusedxml/xml"
)
func handleXML(c *fiber.Ctx) error {
raw := c.Request().Body()
if len(raw) == 0 {
return c.Status(400).SendString("empty body")
}
raw = bytes.TrimPrefix(raw, []byte("\xef\xbb\xbf")) // 去 BOM
doc := xml.NewDecoder(bytes.NewReader(raw))
doc.Strict = false // 容忍部分非规范写法
var v MyXMLStruct
if err := doc.Decode(&v); err != nil {
return c.Status(400).SendString("invalid xml: " + err.Error())
}
return c.JSON(v)
}
Fiber 路由中处理 XML 的典型错误
常见报错不是语法问题，而是请求体被提前消费或编码错位。
-
xml: syntax error on line 1: invalid character entity &：说明你用了c.Body()并按 UTF-8 解了码，但原始 XML 是 GBK 编码，& 符号被截断成乱码 -
EOF或unexpected EOF：大概率是c.Request().Body()被多次调用（Fiber 的 body 只能读一次），或前端发了空 body 却没校验长度 -
panic: runtime error: invalid memory address：没引入defusedxml，直接用encoding/xml解析了含外部实体的恶意 XML - 微信公众号回调超时失败：解析耗时超过 5 秒——别在 handler 里做网络请求、DB 查询或复杂校验，XML 解析本身应控制在毫秒级
要不要用中间件统一处理 XML？
不推荐。Fiber 的中间件链对所有请求生效，而 XML 解析只适用于特定路由（如 /wechat、/payment/notify）。强行全局注册会拖慢 JSON 或表单接口。
- 真正需要的是路由级封装：写一个
ParseXML(c *fiber.Ctx, v interface{}) error工具函数，在目标路由里显式调用 - 如果多个路由共用同一套 XML 结构，可把
defusedxml.Decoder配置（如Strict=false、EntityReader）抽成变量复用，避免每次新建 - 别依赖
c.Locals存解析结果——它只是 map，无类型安全，且容易和其它中间件冲突；直接传参更清晰
<?xml 开头的请求，或重写 Content-Type。上线前务必用 curl -H "Content-Type: text/xml" -d '<?xml... ' 直连服务端验证通路。
