在Java后端开发中，经常需要把第三方接口返回的XML文本或者配置字符串，解析成标准的org.w3c.dom.Document对象，以便用DOM方式遍历节点、提取属性。JDK自带的XML解析包就能完成这件事，不需要引入额外框架。
使用DocumentBuilderFactory解析XML字符串
最基础的做法是通过DocumentBuilderFactory新建一个工厂实例，设置必要的防御参数，再用DocumentBuilder的parse方法接收字节流或字符流。由于parse方法不直接接受String，我们一般借助ByteArrayInputStream把字符串变成输入流。
下面的代码演示了如何把一个XML字符串安全地转换为Document对象。这里特意关闭了外部实体，避免旧版本JDK上出现的XXE漏洞。如果XML里包含中文，字符串转字节时一定要指定UTF-8编码，否则可能出现乱码或解析报错。
import org.w3c.dom.Document;
import javax.xml.parsers.DocumentBuilder;
import javax.xml.parsers.DocumentBuilderFactory;
import java.io.ByteArrayInputStream;
import java.nio.charset.StandardCharsets;
public class XmlUtil {
public static Document stringToDocument(String xml) throws Exception {
// 创建工厂并设置安全参数
DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setNamespaceAware(false);
factory.setExpandEntityReferences(false);
// 关闭外部实体加载，防止XXE攻击
factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
DocumentBuilder builder = factory.newDocumentBuilder();
// 将字符串按UTF-8转为字节流
ByteArrayInputStream input = new ByteArrayInputStream(xml.getBytes(StandardCharsets.UTF_8));
Document doc = builder.parse(input);
doc.getDocumentElement().normalize();
return doc;
}
}
关键参数说明
setFeature中配置的disallow-doctype-decl会直接禁止文档类型定义，这是防范XML外部实体注入最直接的方式。如果你的业务必须支持DTD，那就需要更细粒度地关闭外部通用实体与参数实体，但这会明显增加复杂度，通常接口报文都不需要DTD。
normalize方法会把相邻的文本节点合并，并规范空白，方便后续用getElementsByTagName等方法稳定取值。如果XML很大，Document会一次性载入内存，这是一种典型的内存型解析，不适合几百兆的巨型文件。
常见错误与排查办法
很多初学者会直接把String传给parse，结果编译报错，因为parse只接受InputSource、InputStream或File。另一个高频问题是编码：用getBytes()不带参数时，依赖平台默认编码，在Linux服务上常是UTF-8，但在Windows本地可能是GBK，导致标签里的中文变成乱码进而解析失败。
当XML字符串头部没有声明编码，而内容又是UTF-8中文时，最稳妥的方案就是像上面代码一样显式使用StandardCharsets.UTF_8。如果仍然报SAXParseException，可以检查字符串是否被截断，或者包含了不可见的控制字符，必要时先打印长度与首尾内容辅助定位。
与第三方库对比
除了JDK原生方式，有些人会用dom4j或Jackson的XML模块。dom4j的SAXReader也能接受字符串输入，代码更短，但需要额外依赖。原生方式胜在零依赖、可控性高，适合写工具类或中间件。下面是用dom4j的对照示例，仅作参考：
import org.dom4j.Document;
import org.dom4j.DocumentHelper;
public class Dom4jDemo {
public static Document parse(String xml) throws Exception {
// dom4j可直接解析字符串
return DocumentHelper.parseText(xml);
}
}
如果你的项目已经引入了dom4j且不在乎体积，用上面这种方式更省事。但若追求最小依赖和安全性，原生DocumentBuilder仍是首选。
小结与使用示例
拿到Document之后，就可以通过getDocumentElement获取根节点，用getChildNodes遍历子元素。下面展示一段简单读取节点文本的调用代码，帮助理解整体链路。
public static void main(String[] args) throws Exception {
String xml = "<user><name>张三</name><age>20</age></user>";
Document doc = XmlUtil.stringToDocument(xml);
String name = doc.getElementsByTagName("name").item(0).getTextContent();
System.out.println("用户名:" + name);
}
整体来看，Java把XML字符串转Document并不复杂，核心就是工厂配置加流转换。把安全参数固定下来，封装一个工具方法，就能在多数业务场景里稳定复用。