JAXP够用但有局限：作为规范接口层，其默认配置保守，不校验DTD、不防护外部实体、不支持流式写入，小数据量解析可行，安全与性能场景需补充配置或换用SAX/StAX等方案。
Java原生JAXP到底够不够用
JAXP（Java API for XML Processing）不是具体实现，而是规范接口层，底层依赖厂商实现（如Xerces、JDK内置的Apache Xalan）。它提供DocumentBuilder、SAXParser、Transformer等统一入口，但默认配置保守：不校验DTD、不启用外部实体防护、不支持流式写入大型XML。日常小数据量解析没问题，一旦涉及安全、性能或复杂转换，就得补足。
DOM解析内存爆掉时该换什么
用DocumentBuilder.parse()加载几百MB XML会直接OOM，因为DOM必须把整个树载入内存。此时应切换到SAX或StAX：
-
SAXParser是事件驱动，无内存压力，但需手动维护状态，适合只读提取字段（如遍历所有<user id="123">） -
XMLStreamReader（StAX）更灵活，可进可退，支持部分解析和写入，javax.xml.stream.XMLInputFactory创建后调用createXMLStreamReader() - 第三方库如
jackson-dataformat-xml底层用StAX，API更简洁：XmlMapper.readTree()可选只读根下几层
用XPath取不到节点？检查命名空间和解析器配置
JAXP的DocumentBuilder默认不开启命名空间感知，导致//ns:tag始终返回空。必须显式设置：
DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance(); factory.setNamespaceAware(true); // 关键 DocumentBuilder builder = factory.newDocumentBuilder();
此外，XPath表达式里带前缀（如ns:book）时，必须注册NamespaceContext，否则报XPathExpressionException: Namespace prefix 'ns' not declared。常见错误是只设setNamespaceAware(true)却漏掉上下文绑定。
根据 package.json 中的 engines 字段自动检测 Node.js 版本需求，未安装 nvm 时自动安装并切换至对应版本。支持 Windows、macOS、Linux。适用于 Node.js 项目开发、版本切换和环境配置。
立即学习“Java免费学习笔记（深入）”；
第三方库选Dom4j还是Jackson XML
Dom4j语法最接近原生DOM，支持XPath 1.0和流式写入，但已多年未更新，对Java 17+模块化支持弱；Jackson XML基于StAX，序列化/反序列化极快，尤其适合POJO ↔ XML互转，但XPath能力弱（需配合JsonNode树操作）。实际选型看场景：
- 需要高频XPath查询 + 手动编辑XML → 用
dom4j - 微服务间XML报文收发 → 用
jackson-dataformat-xml，搭配@JacksonXmlRootElement - 处理超大XML且只抽字段 → 直接上
XMLStreamReader，别绕路封装
安全方面，所有库都默认禁用外部实体（setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)），但JAXB（已弃用）和老版本Dom4j容易漏配，这点常被忽略。
