xml解析时<变成文字是因为xml被双重编码，需用stringescapeutils.unescapexml()（java）或xml.sax.saxutils.unescape()（python）还原标准实体后再解析，不可用replace或html解码器。
XML解析时<变成文字而不是标签怎么办
这是典型的XML实体转义问题：原始XML里的、<code>>、&被提前替换成<、>、&，导致解析器读不到合法结构，直接报错或把整段当文本处理。
根本原因不是“XML写错了”，而是内容在某一层（比如HTTP响应体、数据库字段、日志拼接）被双重编码了。你拿到的已经不是XML，是XML的字符串表示。
- 别用
String.replace()硬替换——容易漏掉"、'，还可能误伤正常文本里的< - 别手动拼XML再解析——绕过标准解析流程，等于放弃命名空间、DTD校验、字符集自动识别等保障
- 优先确认源头：是后端返回的JSON里嵌了转义后的XML字符串？还是前端用
textContent取了XML节点结果？定位错层，修半天白忙
Java用DocumentBuilder解析前必须预处理转义字符吗
不需要。标准DocumentBuilder只认合法XML语法，传入含<的字符串会直接抛SAXParseException，错误信息通常是The content of elements must consist of well-formed character data or markup。
正确做法是先还原成原始XML字符串，再交给解析器。但还原不能靠正则，要用专门的HTML/XML解码工具，因为：
-
org.apache.commons.text.StringEscapeUtils.unescapeXml()能处理全部5个标准实体（<>&"'），且不碰非实体内容 - JDK原生没有等效API，
java.net.URLDecoder或URLEncoder完全不适用——它们针对URL编码，和XML实体无关 - 如果字符串里混有HTML实体（如
unescapeXml()会忽略，避免意外污染
示例：
String rawXml = "<root><item>A&B</item></root>"; String fixed = StringEscapeUtils.unescapeXml(rawXml); // → <root><item>A&B</item></root> Document doc = DocumentBuilderFactory.newInstance().newDocumentBuilder().parse(new ByteArrayInputStream(fixed.getBytes(StandardCharsets.UTF_8)));
Python里xml.etree.ElementTree报ParseError: not well-formed怎么修
错误本质和Java一样：输入字符串含未还原的实体。但Python生态更易踩坑——很多人用html.unescape()，它虽能解<，却会把 也转成空格，破坏XML语义；还有人用BeautifulSoup先解析再导出，引入额外依赖且可能改写命名空间。
安全做法只有两种：
- 用
xml.sax.saxutils.unescape()——它是XML模块自带的，专为XML实体设计，只处理标准5个，不碰其他 - 如果确定输入是纯XML实体（无HTML扩展），用
html.unescape()也可，但必须加判断：if '<' in xml_str or '>' in xml_str:再调用 - 绝对不要用
str.replace('<', '')——&会被漏掉，且<script>这种会被错误还原成<script></script>，触发XSS风险（即使当前场景不执行JS，也属数据污染）
示例：
import xml.sax.saxutils raw = "<data><val>10&20</val></data>" fixed = xml.sax.saxutils.unescape(raw) # → <data><val>10&20</val></data> import xml.etree.ElementTree as ET root = ET.fromstring(fixed)
浏览器里用DOMParser解析<开头的字符串失败
现象是parseFromString(str, 'text/xml')返回的document.documentElement为null，或parseError显示Invalid XML。这是因为DOMParser严格遵循XML规范，不接受已转义的内容。
修复关键点就一个：必须在调用前还原。但注意浏览器环境没有StringEscapeUtils，得自己实现轻量解码：
- 用
textarea临时元素是最兼容方案：const el = document.createElement('textarea'); el.innerHTML = escapedStr; return el.value;——利用浏览器内置HTML解析器还原实体，安全且覆盖所有标准实体 - 别用
innerHTML直接设到div再取textContent——会丢失<script></script>等特殊标签的原始结构，且textContent会把换行符标准化 - 如果字符串来自
fetch响应，检查response.headers.get('content-type')是否为application/xml；若是text/plain或application/json，说明服务端本就没按XML发，转义是它自己的逻辑问题
这个环节最容易被忽略：以为“能用fetch拿到字符串就等于XML可用”，其实传输格式和内容格式是两回事。
