spring boot接收xml文件上传需用@requestparam("file") multipartfile file，配合multipart/form-data提交；解析推荐jaxb（结构稳定时）或saxparser（大文件/不规则xml），注意bom、编码、命名空间及禁用dtd。
Spring Boot怎么接收XML文件上传
直接用 @RequestParam("file") MultipartFile file 就行，别套 @RequestBody —— 那是给 JSON 用的，XML 文件走表单上传，必须用 MultipartFile。Spring Boot 默认支持，只要接口方法参数对上、前端用 multipart/form-data 提交，就能拿到原始字节流。
常见错误现象：Required request part 'file' is not present，多半是前端没设好 Content-Type 或字段名不匹配；或者用了 fetch 但没用 FormData 实例包住文件。
- 确保 Controller 方法加了
@PostMapping，且路径没被其他拦截器提前吃掉 - 字段名（如
"file"）要和前端FormData.append("file", ...)里的键完全一致，区分大小写 - 如果用 Postman 测试，选
form-data类型，Key 填file，Type 选File，不要手动填Content-Type
解析MultipartFile里的XML内容用哪个库
推荐用 JAXBContext（JDK 自带，无需额外依赖），前提是 XML 结构稳定、有对应 Java Bean；如果 XML 不规则、含命名空间或需要流式处理，改用 SAXParser 或 DocumentBuilder 更可控。
性能影响：JAXB 解析会把整个 XML 加载进内存并映射成对象，大文件（>10MB）容易 OOM；SAXParser 是事件驱动，内存占用低，但写法稍啰嗦。
立即学习“Java免费学习笔记（深入）”；
- 用 JAXB 前必须给 Bean 加
@XmlRootElement等注解，否则抛IllegalArgumentException: Not a JAXB annotation -
MultipartFile.getInputStream()只能读一次，解析失败后不能再重复调用，调试时建议先转成byte[]缓存 - 注意字符编码：XML 声明里是
<?xml version="1.0" encoding="UTF-8"?>，但MultipartFile默认按平台编码读取，建议显式用new String(file.getBytes(), StandardCharsets.UTF_8)转字符串再解析，或传InputStream给解析器时指定编码
XML解析失败常见报错和绕过方式
最常遇到的是 org.xml.sax.SAXParseException: Content is not allowed in prolog，本质是输入流开头有 BOM 或不可见控制字符；其次是 javax.xml.bind.UnmarshalException: unexpected element，说明根元素名或命名空间对不上。
- 读取前先检查前几个字节：
byte[] head = Arrays.copyOf(file.getBytes(), Math.min(4, file.getSize()))，打印十六进制看看有没有EF BB BF（UTF-8 BOM） - 如果 XML 带命名空间（比如
<root xmlns:ns="http://example.com"></root>），JAXB 默认不认，得在@XmlRootElement上加namespace = "http://example.com"，且package-info.java里配@XmlSchema(namespace = "...") - 不想深究命名空间？临时方案：用
String.replaceAll("<ns:> 粗暴去掉前缀（仅限测试，生产慎用）</ns:>
要不要校验XML Schema（XSD）
线上环境建议校验，尤其是对外暴露的接口；开发阶段可先跳过，避免 schema 路径加载失败导致启动卡住或 500。
校验本身不难，关键是 XSD 文件放哪、怎么加载：放在 src/main/resources/xsd/ 下，用 Thread.currentThread().getContextClassLoader().getResource("xsd/schema.xsd") 拿到 URL，再喂给 SchemaFactory。别硬写绝对路径或用 new File(...)，打包成 jar 后会找不到。
- 校验失败默认抛
SAXException，要捕获并转成业务友好的错误码，比如400 Bad Request+ 具体行号和消息 - 如果 XML 里引用了外部 DTD（比如
），解析器可能去外网拉取，导致超时或安全风险；务必禁用 DTD：<code>factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true) - Spring Boot 2.3+ 默认禁用外部实体，但老版本需手动关：
builder.setFeature("http://xml.org/sax/features/external-general-entities", false)
