'&' является специальным символом в XML и должен быть экранирован, тогда его использование буквально. в противном случае синтаксический анализатор XML видит '&' и ожидает сущность. затем он читает 'storyID' и ожидает, что это будет имя сущности. затем он читает «=» и расстраивается, потому что имена сущностей не могут содержать «=» и должны заканчиваться символом «;». escape-последовательность для использования '&' буквально - '& amp;', как предлагают другие. Обтекание текста в разделах CDATA отключает сканирование на наличие специальных символов и, таким образом, достигает той же цели.
(иронично, что при публикации я должен тщательно составить и исправить запись, чтобы редактор stackoverflow не запутался; в конце концов он тоже обрабатывает XML / HTML)