用@RequestPart("file")接收XML文件，因浏览器上传走multipart/form-data而非application/xml；需校验大小、禁用DOCTYPE防XXE、生成UUID安全文件名、前端用FormData上传。
Java后端接收XML文件用哪个Spring Boot注解
用 @RequestPart，别用 @RequestBody —— 后者只认纯文本或JSON，遇到带文件的 multipart 请求会直接报 HttpMediaTypeNotSupportedException。
常见错误是把XML当普通POST体处理，结果控制器收不到文件，或者 MultipartFile 为空。根本原因是浏览器上传XML时走的是 multipart/form-data 编码，不是 application/xml。
-
@RequestPart("file") MultipartFile xmlFile是标准写法，“file”要和前端FormData.append("file", blob)的键名严格一致 - 如果还想同时接收额外参数（比如版本号、业务ID），加一个
@RequestPart("metadata") String metadata，但注意：metadata必须是字符串，不能直接绑Object，否则反序列化失败 - Spring Boot 3.x 默认禁用
StandardServletMultipartResolver的自动配置，需确认spring.servlet.multipart.enabled=true在application.properties里已开启
XML文件内容校验放在哪一步最稳妥
在解析前做基础校验，而不是等 DocumentBuilder.parse() 报错才处理 —— 否则恶意构造的超大或嵌套过深XML可能触发OOM或XXE攻击。
关键动作是：先检查 xmlFile.getSize() 是否超出阈值（比如5MB），再用 SAXParser 做轻量预检（不构建DOM树），最后才交给 DocumentBuilder 解析。
立即学习“Java免费学习笔记（深入）”；
- 禁用外部实体：必须调用
factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true)，否则默认允许DOCTYPE，XXE风险极高 - 限制解析深度和节点数：通过
parser.setProperty("http://www.oracle.com/xml/jaxp/properties/parser/limit/maxElementDepth", 100)等JAXP扩展属性控制（不同JDK版本支持略有差异） - 别用
xmlFile.getInputStream()直接传给parse()多次 —— InputStream只能读一次，第二次会返回空流，导致解析失败
上传后保存XML文件到服务器磁盘要注意什么
别直接用 xmlFile.transferTo(new File(...)) 写死路径 —— 容易因权限、路径不存在或Windows/Linux斜杠差异出错；更危险的是把原始文件名拼进路径，可能被构造为 ../../etc/passwd。
真实部署中，文件系统不可靠，应优先考虑对象存储（如MinIO、阿里云OSS），但若必须落本地，得做三件事：
- 生成安全文件名：用
UUID.randomUUID() + ".xml"，完全丢弃客户端传来的xmlFile.getOriginalFilename() - 确保父目录存在且可写：
Files.createDirectories(Paths.get(uploadDir))，不要手动mkdir - 设置合理权限：
Files.setPosixFilePermissions(path, EnumSet.of(PosixFilePermission.OWNER_READ, PosixFilePermission.OWNER_WRITE))（仅Linux/macOS；Windows下忽略）
前端发XML文件时Content-Type怎么设才不被后端拒收
前端不用显式设 Content-Type —— 浏览器用 FormData 上传时会自动设为 multipart/form-data; boundary=xxx，这是唯一正确方式。
常见错误是用 fetch 配 headers: {"Content-Type": "application/xml"} 发原始XML字符串，这会让后端当成普通POST体，@RequestPart 根本不生效，MultipartFile 永远为null。
- 正确做法：
const fd = new FormData(); fd.append("file", new Blob([xmlStr], {type: "application/xml"})); fetch("/upload", {method: "POST", body: fd}) - 如果后端报
Required request part 'file' is not present，八成是前端 key 名不匹配，或FormData构造时没传Blob（比如误传了字符串） - 调试技巧：Chrome Network → Payload → 查看 Request Headers 里是否有
Content-Type: multipart/form-data，以及 Form Data 面板里是否显示了 file 条目
XML上传看着简单，真正上线时最容易翻车的其实是文件名处理、XXE防护和 multipart 边界识别——这三个点漏掉任何一个，要么被攻击，要么在特定环境（比如Docker容器挂载卷权限不足）下静默失败。
