XML解析报错“invalid character”是因遇到不符合XML规范的非法字符，如控制字符（ -、 - 、- 等），需在解析前用正则清洗，保留合法空白符（ 、 、 ），并确保编码正确。
XML解析报错 invalid character 是什么问题
这是解析器在读取XML文本时，遇到了不符合XML规范的字符。XML只允许特定Unicode范围内的字符（比如U+0009、U+000A、U+000D和U+0020–U+D7FF等），而常见非法字符包括：控制字符（如 –、 、 、– ）、某些BOM残留、Windows剪贴板带入的零宽空格（u200b）、或数据库导出时混入的不可见符号。
用正则预清洗XML字符串再解析
别指望XML解析器自动跳过非法字符——它会直接抛错。必须在调用xml.etree.ElementTree.fromstring()或lxml.etree.fromstring()前清理。
- Python中推荐用这个正则安全剔除：
re.sub(r'[ - - -]', '', xml_str) - 注意：不能简单删所有
-，因为 - 如果XML来自HTTP响应，检查
response.encoding是否正确；错误解码（如用gbk解UTF-8响应体）也会制造非法字节序列
lxml解析时启用recover=True不是万能解药
lxml.etree.XMLParser(recover=True)确实能让解析器“尽力而为”，跳过部分非法字符继续解析，但它有明确局限：
- 只对
lxml有效，xml.etree.ElementTree不支持该选项 - 遇到严重编码错乱（如UTF-8字节流被当Latin-1读）仍可能崩溃，不是替代清洗的方案
- 恢复模式下丢失的节点不会报错提示，容易掩盖数据污染问题——适合调试，不适合生产环境默认开启
从源头避免：生成XML时就过滤非法字符
与其每次解析都补救，不如在写XML的地方堵住漏洞。尤其注意这些场景：
- 数据库字段含用户输入（如MySQL中
TEXT列存了带 - Java里用
String.replaceAll("[\x00-\x08\x0B\x0C\x0E-\x1F\x7F-\x9F]", "")处理待序列化的字符串 - Go中用
strings.Map配合xml.IsChar函数判断并过滤 - 若用
json.Marshal后手动拼成XML（反模式！），务必先校验JSON输出是否含非法字符——JSON本身允许更多字符，但XML不允许
最麻烦的情况是非法字符藏在base64编码内容里（比如XML中嵌了<data>...</data>），此时清洗必须发生在解码之后、塞进XML之前。这点很容易漏掉。
