17370845950

在 Google App Engine 上处理 XML 需用 xml.etree.ElementTree 等标准库解析请求体或远程文件，禁用外部实体防 XXE，设置正确 Content-Type 返回 XML 响应，并通过 Cloud Storage 或 URL 获取外部 XML。

在 Google App Engine（GAE）上处理 XML 数据，核心是使用 Python 标准库（如 xml.etree.ElementTree 或 xml.sax）解析请求体或外部 XML 文件，同时注意 GAE 的运行时限制（如无文件系统写入、超时、内存限制）和部署环境差异（如 Python 3 运行时已弃用 `webapp2`，推荐使用 Flask 或 FastAPI）。

接收并解析 HTTP 请求中的 XML

当客户端以 application/xml 或 text/xml 发送 XML 数据时，需从请求体中读取原始字节并解析：

• 在 Flask 中：用 request.get_data() 获取原始内容，再传给 ET.fromstring()
• 避免直接用 request.form（它只处理 URL 编码表单），XML 不适用
• 务必捕获 ET.ParseError，防止恶意或格式错误的 XML 导致 500 错误

安全地解析不受信的 XML（防 XXE）

GAE 应用常暴露在公网，必须禁用外部实体（XXE）以避免敏感文件读取或 SSRF：

• 不要用 xml.dom.minidom.parse() 或默认的 ET.XMLParser()
• 显式创建无 DTD/外部实体的解析器：
  parser = ET.XMLParser(resolve_entities=False, dtd_validation=False)
root = ET.fromstring(xml_bytes, parser=parser)
• 若需处理复杂 XML Schema 或命名空间，可搭配 defusedxml 库（需在 requirements.txt 中声明）

生成并返回 XML 响应

构造 XML 并作为响应返回时，注意设置正确 Content-Type 和编码：

• 用 ET.tostring(root, encoding='utf-8', method='xml') 生成字节流
• Flask 响应中设 mimetype='application/xml' 或 'text/xml'
• 避免手动拼接字符串生成 XML（易出错且不安全），始终使用 ElementTree 等标准 API
• 如需带 XML 声明（），设 xml_declaration=True

读取远程或存储的 XML 文件（如 Cloud Storage）

GAE 无法访问本地磁盘，外部 XML 通常来自 Cloud Storage、URL 或 Datastore：

• 从 Cloud Storage 读取：client.bucket('my-bucket').blob('data.xml').download_as_bytes()
• 从 URL 获取（需启用 URL Fetch API 或使用 requests）：注意设置超时（GAE 默认请求限时 60 秒）
• 小量结构化数据可存入 Datastore/Firestore，但 XML 本身不适合作为主要存储格式；建议解析后转为 JSON 或模型对象再存