XML批量上传常见失败点在于Content-Length超限、SAXParseException、文件静默丢失；Spring Boot需用@RequestPart绑定List<MultipartFile>并配置multipart大小限制；解析时须禁用DTD和外部实体防XXE。
XML批量上传的常见失败点在哪
直接用 multipart/form-data 提交多个 XML 文件，后端没做文件流预读或边界校验，很容易卡在 Content-Length 超限、解析中途抛 SAXParseException 或丢文件。更隐蔽的问题是：前端一次选 100 个文件，后端只处理了前 3 个就静默返回成功——因为没校验 request.getParts().size() 和实际接收数是否一致。
Spring Boot 接口怎么写才支持稳定多 XML 文件
必须用 @RequestPart 显式绑定，不能只靠 @RequestParam；同时要禁用默认的单文件限制。关键配置和接口示例如下：
@PostMapping(value = "/xml/batch", consumes = MediaType.MULTIPART_FORM_DATA_VALUE)
public ResponseEntity<Map<String, Object>> uploadXmlBatch(
@RequestPart("files") List<MultipartFile> files,
@RequestPart(value = "metadata", required = false) String metadataJson) {
<pre class='brush:php;toolbar:false;'>if (files == null || files.isEmpty()) {
return ResponseEntity.badRequest().body(Map.of("error", "no files received"));
}
List<String> results = new ArrayList<>();
for (MultipartFile file : files) {
if (!"application/xml".equals(file.getContentType()) &&
!file.getOriginalFilename().toLowerCase().endsWith(".xml")) {
results.add(file.getOriginalFilename() + ": invalid type");
continue;
}
try (InputStream is = file.getInputStream()) {
// 这里做 SAX 解析或 JAXB unmarshal，别用 DocumentBuilder.load() 加载大文件
results.add(file.getOriginalFilename() + ": ok");
} catch (Exception e) {
results.add(file.getOriginalFilename() + ": parse failed - " + e.getMessage());
}
}
return ResponseEntity.ok(Map.of("results", results));}
配套的 application.yml 必须显式放开限制：
spring:
servlet:
context-path: /api
web:
resources:
static-locations: classpath:/static/
http:
multipart:
max-file-size: 50MB
max-request-size: 50MB
enabled: true-
max-file-size和max-request-size必须都设，且值一致，否则上传含 20 个 2MB XML 的请求会 400 - Spring Boot 2.6+ 默认禁用
multipart，enabled: true不可省 -
@RequestPart("files")中的files必须和前端FormData.append("files", file)的 key 完全匹配，大小写敏感
前端怎么发才不丢文件、不爆内存
不用 <input type="file" multiple> 直接 submit 表单——那样无法控制并发、没进度、出错难定位。推荐用 fetch + FormData 手动构造：
const uploadBatch = async (fileList) => {
const formData = new FormData();
Array.from(fileList).forEach(file => {
// 关键：每个文件单独 append，name 必须一致（后端靠 name 绑定 List）
formData.append("files", file);
});
// 可选：附带业务元数据
formData.append("metadata", JSON.stringify({ batchId: Date.now(), operator: "admin" }));
<p>const res = await fetch("/api/xml/batch", {
method: "POST",
body: formData,
// 不要设 headers！否则浏览器无法自动写 boundary
});</p><p>return res.json();
};注意点：
- 不要手动设置
Content-Type请求头，fetch会自动生成带正确boundary的 multipart 头 - 单次上传建议不超过 50 个文件，避免浏览器 FormData 内存暴涨（尤其 Chrome 对 >100MB FormData 有隐式截断）
- 如需断点续传或超大 XML（>10MB），得改用分块上传 + 后端合并，不能走普通 multipart
解析 XML 时怎么避免 OOM 和 XXE 攻击
批量上传后若用 DocumentBuilder 全量加载，10 个 8MB XML 就可能触发 java.lang.OutOfMemoryError: Java heap space。更危险的是默认解析器会开启外部实体（XXE），攻击者上传恶意 XML 可读取服务器本地文件。
必须用 SAX 或 StAX，并禁用 DTD 和外部实体：
// 示例：SAX 解析器安全配置
SAXParserFactory factory = SAXParserFactory.newInstance();
factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
SAXParser parser = factory.newSAXParser();
parser.parse(inputStream, handler);- 千万别用
DocumentBuilderFactory.newInstance().newDocumentBuilder()处理未知来源 XML - Spring Boot 内置的
Jaxb2RootElementHttpMessageConverter默认不安全，批量场景务必绕过它，手写解析逻辑 - 如果业务允许，上传前让前端先做简单校验：用正则
/^<\?xml\s/i判断是否为合法 XML 开头，快速过滤纯文本误传
真实批量上传最常崩在“以为传过去了，其实只进了两个文件”，问题往往出在前后端 key 名不一致、Nginx 拦截了大请求、或者解析时某个 XML 格式错导致整个批次中断。留好每一步的原始文件名和错误堆栈，比加个重试逻辑重要得多。
