JavaScript 環境における XML 処理ライブラリの選定：fast-xml-parser vs xml-js vs xml2js

フロントエンド開発において、XML を直接扱う機会は昔に比べて減りましたが、仍然存在しています。サイトマップ、RSS フィード、一部の企業向け API、設定ファイルなど、依然として XML 形式のデータを処理する必要がある場面は少なくありません。fast-xml-parser、xml-js、xml2js は、この課題を解決する代表的なライブラリです。これらはそれぞれ異なる設計思想を持っており、パフォーマンス、セキュリティ、使いやすさに違いがあります。

📥 XML から JSON への変換：構文と非同期処理

XML を JavaScript オブジェクトに変換する際、各ライブラリは異なる API スタイルを採用しています。特に非同期処理の扱いと、オプション設定の方法に注目しましょう。

fast-xml-parser は、クラスベースの API を採用しており、インスタンス化後に解析を実行します。設定はコンストラクタで渡します。

// fast-xml-parser: クラスベースの解析
import { XMLParser } from "fast-xml-parser";

const parser = new XMLParser({ ignoreAttributes: false });
const result = parser.parse(xmlString);
// 同期的に処理され、結果がオブジェクトで返る

xml-js は、関数ベースのシンプルな API を提供します。オプションをオブジェクトで渡す形式です。

// xml-js: 関数ベースの解析
import { xml2js } from 'xml-js';

const result = xml2js(xmlString, { compact: false, spaces: 4 });
// 同期的に処理され、変換されたオブジェクトを返す

xml2js は、伝統的にコールバックベースでしたが、現在は Promise をサポートしています。parseStringPromise を使うのが現代的な使い方です。

// xml2js: Promise ベースの解析
import { parseStringPromise } from 'xml2js';

const result = await parseStringPromise(xmlString, { explicitArray: false });
// 非同期処理として待機が必要

📤 JSON から XML への構築：出力制御

逆に、JavaScript オブジェクトを XML 文字列に戻す際も、各ライブラリでアプローチが異なります。特に属性（attributes）とテキストノードの扱いが重要です。

fast-xml-parser は XMLBuilder クラスを使用します。フォーマット設定が細かく制御できます。

// fast-xml-parser: ビルダー使用
import { XMLBuilder } from "fast-xml-parser";

const builder = new XMLBuilder({ format: true, ignoreAttributes: false });
const xmlOutput = builder.build(jsonObject);
// 整形された XML 文字列が生成される

xml-js は js2xml 関数を使用します。コンパクトモードかどうかで出力形式が変わります。

// xml-js: 構築関数使用
import { js2xml } from 'xml-js';

const xmlOutput = js2xml(jsonObject, { compact: false, spaces: 2 });
// 指定したスペース数で整形される

xml2js は Builder クラスを使用します。ルートノードの名前などを指定可能です。

// xml2js: Builder クラス使用
import { Builder } from 'xml2js';

const builder = new Builder({ headless: false });
const xmlOutput = builder.buildObject(jsonObject);
// XML 宣言を含む出力が可能

🔒 セキュリティと検証：XXE 保護とバリデーション

XML 処理において最も重要なのがセキュリティです。特に XXE（XML External Entity）攻撃への対策は必須です。

fast-xml-parser は、セキュリティ機能を強く意識して設計されています。デフォルトまたはオプションで外部エンティティの読み込みを防止できます。

// fast-xml-parser: セキュリティオプション
const parser = new XMLParser({
  ignoreAttributes: false,
  allowBooleanAttributes: true
  // 外部エンティティの処理はデフォルトで制限される傾向がある
});

xml-js は、基本的な変換に焦点を当てており、セキュリティ機能は最小限です。入力データの信頼性が低い場合、追加の対策が必要です。

// xml-js: 基本的な変換のみ
const result = xml2js(xmlString, { compact: true });
// 外部エンティティ対策は開発者側で管理する必要がある

xml2js は、設定により外部エンティティを無効化できますが、明示的な設定が必要です。セキュリティパッチは定期的に提供されています。

// xml2js: 外部エンティティの無効化
const parser = new Parser({
  explicitCharkey: true,
  // 外部参照を許可しない設定などが必要
});

🏷️ 属性とテキストノードの扱い方

XML の属性（attr）とテキストコンテンツをどう区別するかは、ライブラリによって出力構造が大きく異なります。

fast-xml-parser は、属性を特定のキー（デフォルトでは @_ など）に格納する設定が可能です。

// fast-xml-parser: 属性の扱い
const parser = new XMLParser({
  ignoreAttributes: false,
  attributeNamePrefix: "@_"
});
// 属性は @_id のようにアクセス可能

xml-js は、compact モードかどうかで構造が変わります。compact: false の場合、要素タイプで区別されます。

// xml-js: 要素タイプの区別
const result = xml2js(xmlString, { compact: false });
// { type: 'element', name: 'tag', attributes: {...} } のような構造

xml2js は、属性を $ キー、テキストを _ キーに格納するのがデフォルトの挙動です。

// xml2js: 属性とテキストのキー
// 出力例: { tag: { $: { id: "1" }, _: "content" } }
// $ が属性、_ がテキストコンテンツを表す

🌐 実世界でのシナリオ比較

シナリオ 1：大規模なサイトマップ処理

数千行に及ぶサイトマップ XML を処理し、URL リストを抽出する場合。

• ✅ 推奨: fast-xml-parser
• 理由：処理速度が速く、メモリ効率も良いため、大きなファイルでもパフォーマンスが低下しにくいです。

// fast-xml-parser for large files
const parser = new XMLParser();
const result = parser.parse(largeSitemapXml);

シナリオ 2：シンプルな設定ファイル読み込み

небольшого 設定ファイルを読み込むだけで、複雑な変換は不要な場合。

• ✅ 推奨: xml-js
• 理由：依存関係が軽く、API がシンプルため、小さなタスクに最適です。

// xml-js for simple config
const config = xml2js(configXml, { compact: true });

シナリオ 3：レガシー SOAP API との連携

既存のシステムで xml2js がすでに使われており、挙動の互換性を保ちたい場合。

• ✅ 推奨: xml2js
• 理由：既存コードとの整合性を保ち、属性やテキストの扱い方を変更する必要がありません。

// xml2js for legacy compatibility
const response = await parseStringPromise(soapResponse);

📊 機能比較サマリー

💡 最終的な推奨事項

プロジェクトの要件に応じて、以下の基準で選定してください。

fast-xml-parser は、現代のウェブ開発において最もバランスの取れた選択肢です 🧰。速度、セキュリティ、機能性のすべてにおいて優れており、新規プロジェクトではまずこれを検討すべきです。特にパフォーマンスが重要な場面や、信頼性の低い外部データを扱う場合に真価を発揮します。

xml-js は、軽量さとシンプルさを求める場合に適しています 🔧。バンドルサイズを気にする場合や、変換ロジックが単純な場合に有効です。ただし、高度なセキュリティ機能や複雑な変換ルールが必要な場合は物足りない可能性があります。

xml2js は、安定性と互換性を最優先する場合に選択します 🏛️。長年の実績があり、コミュニティのサポートも厚いため、既存システムとの連携や、変更リスクを最小限に抑えたいエンタープライズ環境で役立ちます。

結論: 新規プロジェクトでは fast-xml-parser を第一候補とし、特定の制約がある場合に他を検討するのが賢明です。どちらを選ぶにしても、外部からの XML 入力を扱う際は、必ずセキュリティ設定を確認してください。