XMLStreamReader默认停在XML声明处，需调用nextTag()跳过空白和声明直达根节点；InputStream须全程有效，编码声明须与字节一致，且需禁用DTD和外部实体以防阻塞。

XMLInputFactory.createXMLStreamReader 读不到根节点？

不是工厂没创建成功，而是默认跳过了空白和声明——XMLInputFactory 创建的 XMLStreamReader 默认不自动推进到第一个元素节点，你调用 next() 或 nextTag() 前，游标还停在 XML 声明或文档开头。

• 用 nextTag() 替代 next()，它会自动跳过 COMMENT、SPACE、PROCESSING_INSTRUCTION，直奔下一个 START_ELEMENT
• 如果 XML 没有声明（比如纯片段），next() 可能直接返回 START_ELEMENT；但只要有 <?xml version="1.0"?>，就必须先跳过
• 别依赖 getEventType() == XMLStreamConstants.START_DOCUMENT 来判断是否就绪——它只在最开始出现一次，之后游标移动就失效

InputStream 被提前关闭导致 Stream closed 异常

createXMLStreamReader(InputStream) 不会复制字节流，只是持有引用。一旦你在外层关了 InputStream，再调用 next() 就抛 java.io.IOException: Stream closed。

• 确保 InputStream 生命周期覆盖整个 XMLStreamReader 遍历过程，别在 try-with-resources 里只包住 factory 创建那行
• 推荐把 InputStream 和 XMLStreamReader 放进同一个 try-with-resources，但得手动实现 AutoCloseable 包装器，或者改用 File/URL 重载方法（它们内部会管理流）
• 测试时用 new ByteArrayInputStream(xmlBytes) 最安全，避免文件句柄干扰

中文乱码或解析失败：encoding 声明和实际字节不匹配

StAX 解析器严格按 XML 声明里的 encoding 解码字节流。如果声明写 encoding="UTF-8" 但传入的是 GBK 字节，会抛 javax.xml.stream.XMLStreamException: Invalid byte 2 of 3-byte UTF-8 sequence。

javascript-typescript-typescript-scaffold

你是 TypeScript 项目架构专家，专注于脚手架搭建生产就绪的 Node.js 和前端应用。生成包含现代工具链（pnpm、Vite、Next.js）、类型

下载

• 优先让源头输出真实 UTF-8 字节，并确保 XML 声明中 encoding="UTF-8" 存在且拼写正确（大小写敏感）
• 不要靠 InputStreamReader 转码再塞给 createXMLStreamReader——XMLStreamReader 不接受 Reader，且 StAX 要求原始字节流才能识别 BOM 和声明
• 实在要处理非 UTF-8 源头，先用对应编码读成字符串，再用 String.getBytes(StandardCharsets.UTF_8) 转，同时把 XML 声明中的 encoding 替换为 UTF-8

性能卡在 next() 上？检查是否启用了 DTD 或外部实体

默认情况下 XMLInputFactory 允许解析 DTD 和外部实体，遇到 /code> 或 <code>&xxx; 实体时可能触发网络请求或本地文件读取，造成阻塞甚至 XXE 漏洞。

立即学习“Java免费学习笔记（深入）”；

• 必须禁用：factory.setProperty("javax.xml.stream.isSupportingExternalEntities", false)
• 同时设 factory.setProperty("javax.xml.stream.supportDTD", false)，否则即使没 DTD 声明，某些老 JDK 版本仍会尝试预加载
• 如果 XML 确实含合法实体（如  ），改用字符引用   或预处理替换掉 & 开头的非法实体

StAX 的轻量优势全建立在“你控制底层字节流 + 显式推进游标”上。一旦漏掉 nextTag()、提前关流、编码错位或放任 DTD，它就从快变成谜。