Wireshark本身不区分XML上传，仅捕获原始网络包；需目标程序以HTTP POST明文发送XML（Content-Type为application/xml或text/xml），且未加密、未嵌套、未走HTTPS/WS，才能捕获；可用过滤表达式http.request.method == “POST” && http.content_type contains “xml”定位。
确认XML是通过HTTP POST上传的
Wireshark本身不区分“XML上传”，它只抓原始网络包。真正要抓到XML内容，前提是目标程序确实用HTTP POST把XML数据发出去了——比如调用 fetch()、curl -X POST 或后端 HttpClient 发送，且Content-Type为 application/xml 或 text/xml。如果XML被加密、base64编码、塞进JSON字段里，或者走WebSocket/HTTPS未解密，Wireshark默认看不到明文XML。
过滤HTTP POST且含XML特征的流量
在Wireshark过滤栏输入以下任一表达式，快速定位可能含XML的上传请求：
http.request.method == "POST" && http.content_type contains "xml"http.request.method == "POST" && tcp.payload contains "<?xml "（注意：此方式依赖XML以明文开头，且payload未被分片截断）-
http.host == "api.example.com" && http.request.uri contains "/upload"（替换为你的实际域名和路径）
⚠️ 注意：tcp.payload 过滤对TLS加密流量无效；HTTPS下只能看到TLS握手和加密流，除非你配置了SSLKEYLOGFILE或使用本地代理解密。
从HTTP流中提取完整XML正文
找到目标POST包后，右键 → Follow → HTTP Stream，这是最可靠的方式查看完整请求体（含XML）。不要只看单个数据包的Line-based text data部分——XML常跨多个TCP段，单包可能只显示开头或乱码。
在HTTP流窗口中，XML正文通常位于空行之后、紧接在Content-Length声明的字节数范围内。若看到Content-Encoding: gzip，需先解压（Wireshark 4.0+ 支持自动解压，勾选 Decode as → HTTP 并启用gzip解析）。
