clamav 扫描 xml 文件前无需解压明文 xml，但压缩包或 base64 编码需业务层预处理；应使用 clamdscan 流式扫描并配置 streamsavetodisk；它不检测 xxe 等协议层攻击，仅作为二进制层补充防线。
ClamAV 扫描 XML 文件前必须解压吗？
ClamAV 本身不解析 XML 结构，它只扫描文件内容字节流。如果上传的是 .xml 明文文件，直接扫描即可；但如果压缩成 .zip、.tar.gz 或内嵌 Base64 的 XML（比如 SOAP 请求体里的附件），ClamAV 默认不会自动解包或解码——它会把整个压缩包或编码串当普通文本扫，漏掉真实 payload。
实操建议：
- 上传接口收到文件后，先用
file命令或 Python 的magic库判断 MIME 类型，识别是否为压缩包 - 对
.zip、.jar、.docx等容器类格式，需用clamdscan --stream+ 解压后逐文件送入扫描，或启用 ClamAV 的ArchiveBlockEncrypted和ArchiveBlockMax配置项（但仅限部分格式） - XML 中若含
<base64binary></base64binary>或类似字段，必须由业务代码提取并写成临时文件再交给clamdscan，ClamAV 不做任何 XML 解析
如何用 clamdscan 同步阻塞式扫描上传的 XML 文件
别用 clamscan（CLI 工具，每次启进程开销大），改用 clamdscan 连接本地 clamd 守护进程，支持流式/文件路径扫描，响应快且可设超时。
关键配置和调用要点：
-
clamd必须开启StreamSaveToDisk yes（否则--stream模式无法处理大文件） - 扫描命令示例（上传后保存为临时文件
/tmp/upload_abc.xml）：clamdscan --fdpass --stream /tmp/upload_abc.xml
- 返回非零退出码表示感染或错误；标准输出含
FOUND字样即命中病毒，例如：/tmp/upload_abc.xml: Win.Trojan.Generic-XXXXXX.UNOFFICIAL FOUND - 务必加
--fdpass（避免权限问题）和--stream（减少磁盘 IO），否则大 XML 可能因超时被clamd拒绝
Python 后端集成 clamdscan 的最小可靠调用方式
用 subprocess.run 调用 clamdscan 最简单，但要注意信号、超时、编码和路径安全。
