XML中必须转义的字符只有5个：<、>、&、"、'，分别对应<、>、&、"、'；其中&和<必须转义，引号依属性定界符而定，>可不转但建议统一，复杂内容宜用CDATA包裹。
哪些字符必须转义
XML 中只有 5 个字符有预定义实体，其他字符（比如中文、emoji、控制符）不强制转义，但若出现在特定位置（如属性值内含双引号）或导致解析失败，就得手动处理。必须转义的是：<、>、&、"、'。注意：> 在大多数场景下其实可不转义（除非紧跟在 ]]> 前），但保守起见建议统一处理。
常见错误现象包括：XML 解析器报 XML_ERR_INVALID_CHAR 或 expected '>', found 'x'；浏览器中 XML 显示为空白或截断；libxml2 报 Invalid char in text node。
-
&必须转成&—— 否则会被当作实体起始符，后续若没合法实体名（如 -
<转成—— 防止被误认为新标签开始 -
"和'只在属性值中严格需要（尤其是当属性用双/单引号包裹时），但统一转义更安全 - 不要转义
（零宽空格）这类 Unicode 字符——它们本身合法，强行转成十进制/十六进制实体反而增加体积且无必要
用 std::string 手动替换的可靠写法
C++ 标准库没有内置 XML 转义函数，最稳妥的是从后往前遍历替换（避免因长度变化导致索引错位），或用新字符串拼接。别用 std::string::replace() 正向循环替换，容易漏掉重叠情况（比如把 & 替换后生成的新 & 又被二次匹配）。
推荐做法是反向扫描 + std::string::insert()：
std::string escape_xml(const std::string& s) {
std::string out;
out.reserve(s.size() + s.size() / 4); // 预分配防频繁 realloc
for (auto it = s.rbegin(); it != s.rend(); ++it) {
switch (*it) {
case '&': out.insert(out.begin(), "&"); break;
case '<': out.insert(out.begin(), "<"); break;
case '>': out.insert(out.begin(), ">"); break;
case '"': out.insert(out.begin(), """); break;
case '\'': out.insert(out.begin(), "'"); break;
default: out.insert(out.begin(), *it); break;
}
}
return out;
}
注意：std::string::insert(begin(), ...) 是 O(n) 操作，但整体仍是线性时间；如果对性能极度敏感（比如日志高频写入），可改用正向遍历 + push_back() 构建，再反转结果。
用 pugixml 或 tinyxml2 等库自动处理
如果你已在用 XML 库，别自己造轮子。例如 pugixml 的 pugi::xml_node::text().set() 和 child_value() 会自动转义文本内容；tinyxml2 的 XMLText::SetValue() 同样隐式处理。
但要注意边界场景：
- 手动拼接 XML 字符串（如
std::string xml = "<tag>" + my_str + "</tag>"）永远绕不开手动转义——库只管它自己构建的 DOM 节点 -
pugixml默认不转义属性值中的引号，需调用node.attribute("attr").set_value(value.c_str())，它内部会根据需要选"或' - 若用
libxml2，务必检查是否启用了XML_PARSE_NOENT——它可能尝试展开未声明的实体，导致意外行为
嵌入 CDATA 作为替代方案？
CDATA 段（]]> 子串，否则 CDATA 立即结束。这意味着你得先扫描并破坏所有 ]]>（比如拆成 ]]> → ]]> + >），这比简单转义更易出错。
适用场景很窄：
立即学习“C++免费学习笔记（深入）”；
- 大段用户输入的代码、JSON、HTML 片段（确定不含
]]>） - 已知数据源可控，且 XML 解析器明确支持 CDATA（所有主流解析器都支持，但某些嵌入式 XML 引擎可能阉割）
- 不用于属性值——CDATA 只能用于元素文本内容
多数情况下，老老实实转义 5 个字符更轻量、更可预测。CDATA 是逃生舱，不是日常座驾。
最容易被忽略的一点：转义必须发生在**序列化前**，而不是存入数据库或网络传输时。如果字符串在中间层被多次 encode/decode（比如 HTTP URL 编码混入 XML 转义），就会出现 这类双重转义，最终显示为字面量而非尖括号。
