需配置Ktor多部分支持、安全解析XML并保存文件：启用Multipart与ContentNegotiation，路由中接收file字段，禁用XXE风险特性后解析，可选kotlinx.xml轻量处理，最后保存文件并返回JSON响应。
如果您在使用 Ktor 框架开发 Kotlin 后端服务时，需要接收客户端上传的 XML 文件并进行解析与处理，则需配置多部分表单支持、正确读取输入流，并安全地解析 XML 内容。以下是实现该功能的具体步骤：
一、启用 multipart 表单解析
Ktor 默认不自动解析 multipart 请求，必须显式安装 ContentNegotiation 和 Multipart 公共特性，以支持文件上传解析。
1、在 Application.module() 中调用 install(ContentNegotiation) 并注册 Jackson 或其他序列化器（非必需，但推荐）。
2、调用 install(Multipart) 启用多部分请求解析能力。
3、确保 application.conf 中未禁用 multipart 相关配置，且 maxMemorySize 与 maxDiskSize 设置足够容纳预期 XML 文件大小。
二、定义路由接收 XML 文件上传
需声明一个 post 路由，使用 call.receiveMultipart() 获取上传内容，并从中提取名为 file 的 PartData.FileItem。
1、使用 route("/upload/xml") 声明上传端点。
2、在处理函数中调用 val multipart = call.receiveMultipart() 获取多部分数据对象。
3、遍历 multipart.parts()，筛选出 name == "file" 且其类型为 PartData.FileItem 的项。
4、确认其 contentType 包含 application/xml 或 text/xml，否则拒绝处理。
三、安全读取并解析 XML 内容
直接使用 XML 解析器加载原始字节流存在 XXE（XML External Entity）攻击风险，必须禁用外部实体解析并限制 DTD 处理。
1、使用 javax.xml.parsers.SAXParserFactory.newInstance() 创建解析器工厂。
2、调用 factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true) 禁用 DOCTYPE 声明。
3、调用 factory.setFeature("http://xml.org/sax/features/external-general-entities", false) 和 factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false) 彻底关闭外部实体。
4、通过 multipartFile.streamProvider().use { stream -> ... } 获取 InputStream 并传入 SAXParser 解析。
四、使用 kotlinx.xml 处理轻量 XML
若 XML 结构简单且可信，可选用 kotlinx.xml 库替代 JAXP，它默认不解析 DTD，更轻量且 Kotlin 原生友好。
1、添加依赖 implementation("org.jetbrains.kotlinx:kotlinx-xml:0.5.0")（注意版本兼容性）。
2、通过 val document = XmlDocument.parse(stream) 加载 XML 文档。
3、使用 document.rootElement.name 和 document.rootElement.children() 遍历节点。
4、对每个文本子节点调用 it.text() 提取内容，避免直接调用 it.textContent（可能触发实体展开）。
五、保存上传文件并返回结构化响应
解析成功后，应将原始 XML 文件持久化至安全路径（如临时目录或对象存储），同时构造 JSON 响应反馈客户端。
1、生成唯一文件名，例如 UUID.randomUUID().toString() + ".xml"。
2、使用 Files.write(path, bytes) 将 multipartFile.bytes() 写入磁盘，路径需位于 应用白名单目录内，禁止拼接用户输入路径。
3、构建 data class UploadResult(val fileName: String, val parsed: Boolean, val rootTag: String)。
4、调用 call.respond(UploadResult(...)) 返回 JSON 响应，状态码保持 200 OK。
