正确做法是使用xml处理工具避免字符串拼接风险，1. 使用dom API可程序化创建XML，自动转义内容、确保结构合法；2. 采用JAXB将java对象序列化为XML，适合固定数据模型；3. 借助jOOX或simpleXML等第三方库，提升构建效率与可读性；应杜绝直接字符串拼接，防止XML格式错误与安全漏洞。
在Java中拼接XML字符串时，直接使用字符串连接（如+或StringBuilder）虽然简单，但容易出错、不安全且难以维护。正确的做法是使用专门的xml处理工具来保证格式正确、避免转义问题，并提升性能。以下是几种高效又安全的XML字符串构建方式。
使用DOM API构建XML
Java内置的DOM（Document Object Model）API可以程序化地创建XML结构，确保标签闭合、属性正确、内容转义。
示例代码：
DocumentBuilder builder = DocumentBuilderFactory.newinstance().newDocumentBuilder();
Document doc = builder.newDocument();
Element root = doc.createElement(“user”);
root.setAttribute(“id”, “1001”);
Element name = doc.createElement(“name”);
name.setTextContent(“<script>恶意内容</script>”); // 自动转义
root.appendChild(name);
doc.appendChild(root);
// 转为字符串输出
Transformer transformer = transformerFactory.newInstance().newTransformer();
StringWriter writer = new StringWriter();
transformer.transform(new DOMSource(doc), new streamResult(writer));
String xmlString = writer.toString();
优点：结构清晰，自动处理特殊字符转义，适合复杂层级。
使用JAXB进行对象绑定
如果你的数据来自Java对象，JAXB（Java Architecture for XML Binding）能将对象直接序列化为XML字符串，无需手动拼接。
立即学习“Java免费学习笔记（深入）”；
步骤：
- 定义带有@XmlRootElement等注解的POJO类
- 创建对象实例并填充数据
- 使用Marshaller输出为字符串
这种方式几乎杜绝了拼接错误，适合数据模型固定、需要频繁生成XML的场景。
使用第三方库如jOOX或SimpleXML
jOOX（Java Object Oriented XPath）提供类似jquery的链式调用语法，简化XML构建。
例如：
String xml = $(Element(“books”))
.add(Element(“book”).attr(“id”, “1”).text(“Java指南”))
.toString();
SimpleXML则通过注解自动映射对象到XML，配置灵活，适合android或轻量级项目。
避免直接字符串拼接
像下面这种写法风险高：
String xml = “<name>” + userInput + “</name>”;
如果userInput包含<或&，会导致XML格式错误或注入问题。即使使用StringBuilder也无法解决语义安全问题。
推荐始终使用结构化方式生成XML，而不是文本拼接。这样不仅能防止XEE或标签不闭合等问题，还能提升代码可读性和维护性。
基本上就这些，选对工具，远离字符串拼接陷阱。