java解析xml无绝对最佳方案：小文档用dom（内存树，支持随机访问）；大文件流式处理选stax（拉模式，易控）；对象绑定优先jaxb或jackson xml；务必禁用xxe防御攻击。
Java中解析XML没有绝对“最佳”的单一方案，关键看场景：数据量小、结构固定用DOM；流式处理大文件用SAX或StAX；需要灵活读写且代码简洁优先选JAXB（配合注解）或现代替代如Jackson XML。
小文档+需随机访问？用DOM解析器
DOM将整个XML加载为内存树，适合配置文件、小型数据交换等场景。优点是可反复遍历、增删改查方便；缺点是内存占用高，不适用于超大文件。
- 用DocumentBuilder构建解析器，避免手动处理编码问题（推荐显式指定UTF-8）
- 启用setNamespaceAware(true)，避免命名空间相关bug
- 对XPath查询频繁的场景，搭配XPathFactory比手动遍历节点更清晰
大文件+只读+低内存？选StAX（推荐）或SAX
StAX是拉模式（pull），比SAX推模式（push）更易控制流程、调试友好，适合日志解析、ETL等流式处理。
- 用XMLInputFactory创建XMLStreamReader，逐个事件读取（START_ELEMENT、CHARACTERS等）
- 遇到嵌套结构时，用栈或状态机管理层级，别依赖深度计数器
- 关闭流前务必调用reader.close()，否则可能泄露资源
对象与XML双向绑定？优先考虑JAXB（Java 8–17）或Jackson XML（Java 17+）
JAXB曾是标准，但Java 11起移除，需单独引入依赖；Jackson XML更轻量、性能好、生态活跃，尤其适合Spring Boot项目。
立即学习“Java免费学习笔记（深入）”；
- JAXB：加@XmlRootElement和@XmlElement，用JAXBContext marshal/unmarshal
- Jackson XML：注册XmlMapper，支持泛型、自定义序列化器，兼容Jackson JSON注解习惯
- 注意日期格式：统一用@JsonFormat(pattern = "yyyy-MM-dd")或@XmlJavaTypeAdapter
安全与健壮性不能妥协
XML外部实体（XXE）攻击风险真实存在，所有解析器默认都应禁用外部DTD和实体解析。
- DOM/SAX/StAX：设置factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)
- JAXB：用JAXBContext.createUnmarshaller()后，调用unmarshaller.setProperty("com.sun.xml.bind.disableXmlSecurity", true)（仅限可信源）
- 始终校验根元素名和关键字段是否存在，不假设XML一定合法
