java中解析inputstream的xml需选sax、dom或stax：dom适合小中文件但占内存；sax事件驱动、低内存；stax拉模式、易控且高效；均须防xxe、正确关流、处理bom。
Java中从InputStream解析XML，核心是使用标准的XML解析API（如SAX、DOM或StAX），将输入流作为数据源传入解析器。关键在于确保流未被提前读取或关闭，并选择合适解析方式。
使用DOM解析器（适合小到中等XML）
DOM会将整个XML加载为内存中的树结构，便于随机访问节点，但不适用于大文件。
- 用
DocumentBuilder配合InputSource包装InputStream - 注意：若
InputStream含BOM（如UTF-8带签名），可能导致解析失败，建议用InputStreamReader显式指定编码并跳过BOM - 示例代码片段：
DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance(); DocumentBuilder builder = factory.newDocumentBuilder(); Document doc = builder.parse(new InputSource(inputStream));
使用SAX解析器（适合大文件、低内存占用）
SAX是事件驱动的流式解析，不构建内存树，适合处理大XML或只需提取部分信息的场景。
- 实现
DefaultHandler子类，重写startElement、characters等方法 - 直接传入
InputStream给XMLReader.parse()，无需额外包装 - 推荐设置
setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)防止XXE攻击
使用StAX解析器（推荐：兼顾流式与编程便利）
StAX（Streaming API for XML）是Java内置的拉模式解析器，比SAX更易控制流程，且无需完整加载文档。
立即学习“Java免费学习笔记（深入）”；
- 用
XMLInputFactory创建XMLStreamReader - 直接传入
InputStream，支持设置字符编码（如factory.createXMLStreamReader(inputStream, "UTF-8")） - 通过
next()和getEventType()遍历事件，用getElementText()快速获取文本内容
注意事项与常见问题
无论哪种方式，都要注意：
-
InputStream只能被读取一次，重复解析需重新获取流（如重置、重开或缓存字节） - 务必在finally块或try-with-resources中关闭流（DOM/SAX需手动关；StAX的
XMLStreamReader也建议调用close()） - 避免使用已弃用的
javax.xml.parsers.SAXParserFactory.newInstance().newSAXParser()旧式写法，优先用标准工厂模式 - 如XML来自网络或不可信源，必须禁用外部实体解析，防范XXE漏洞
