XMLStreamWriter 写入文本时无需手动转义字符-java教程-PHP中文网

xmlstreamwriter 写入文本时无需手动转义字符

XMLStreamWriter.writeCharacters() 方法会自动处理 XML 特殊字符（如 , &, ", '）的转义，因此在调用前对字符串执行 StringEscapeUtils.escapeXml() 会导致重复转义（例如 & 变成 &），破坏原始语义。正确做法是直接传入原始字符串，交由 StAX API 安全处理。

xmlstreamwriter 写入文本时无需手动转义字符

在使用 Java 的 StAX（Streaming API for XML）进行 XML 生成时，一个常见误区是：在调用 XMLStreamWriter.writeCharacters(String) 前，先用工具类（如 StringEscapeUtils.escapeXml()）对字符串做预转义。这不仅多余，而且会导致严重问题 —— 比如德语字符 ü 的 Unicode 实体 ü 中的 & 会被二次转义为 ü，最终 XML 解析器无法还原为原字符。

实际上，XMLStreamWriter 的设计原则是「安全即默认」：它会在写入文本内容时自动识别并转义所有需要被 XML 规范编码的字符，包括：

→ <code>（必须转义）
> → >（可选，但多数实现会转义）
& → &（必须转义）
" → "（在属性值中必须，在文本内容中可选但通常执行）
' → '（同上）

✅ 正确用法（推荐）：

writer.writeStartElement("name");
writer.writeCharacters("Begünstigter"); // 直接传入原始字符串
writer.writeEndElement();

输出结果（符合 XML 标准）：

<name>Begünstigter</name>

❌ 错误用法（导致双重转义）：

Upload audio to AIOZ Stream

快速上传音频至 AIOZ Stream API。支持默认或自定义编码配置创建音频对象，上传文件并完成处理后返回音频链接。

下载

writer.writeCharacters(StringEscapeUtils.escapeXml("Begünstigter"));
// 输出：Begünstigter ← XML 解析器将显示为 "Begünstigter"（文字而非 ü）

⚠️ 注意事项：

不要混合使用手动转义与 writeCharacters()；若已用 StringEscapeUtils 处理过，应改用 writeRaw()（不推荐，绕过安全机制，易引入 XML 注入风险）。
若需写入 CDATA 区段（如含大量 或 <code>& 的富文本），可显式使用：
```
writer.writeCData("Content with <tags> & entities");</tags>
```
确保 XMLStreamWriter 实例来自标准 JAXP 实现（如 Woodstox 或 JDK 自带），其 writeCharacters() 行为均符合 W3C XML 1.0 规范。

? 修复你原始代码只需一行改动：

// ❌ 错误（删除这一行转义）
// writer.writeCharacters(StringEscapeUtils.escapeXml(entry.getValue().toString()));

// ✅ 正确：直接写入原始字符串
writer.writeCharacters(entry.getValue().toString());

总结：StAX 的 XMLStreamWriter 是智能且安全的 —— 把转义交给它，你只负责提供原始语义数据。这是避免乱码、实体嵌套、解析失败等问题最简单也最可靠的实践。