XML脱敏必须在解析后、映射前完成，先用标准解析器构建树结构，再按XPath定位语义路径（如//user/contact/phone）遍历修改文本或属性值，避开注释与处理指令，并确保脱敏后仍通过XSD校验。
XML脱敏必须在解析后、映射前完成
直接对原始XML字符串做正则替换不可靠——标签嵌套、属性值引号、CDATA段、命名空间都会导致匹配失效。真正安全的做法是先用标准解析器加载为树结构，再遍历节点修改文本内容或属性值，最后序列化输出。Python的xml.etree.ElementTree、Java的DocumentBuilder、C#的XDocument都支持这种模式。
哪些节点需要脱敏？看业务字段而非XML结构
不能简单地“把所有phone标签内容替换成***”，因为同名标签可能出现在不同上下文中（如<user><phone>...</phone></user>和<log><phone>...</phone></log>），脱敏策略应绑定到语义路径。推荐用XPath定位关键字段：
-
//user/contact/phone→ 替换为138****1234 -
//order/billing/address/zipCode→ 替换为XXXXXX -
//person/idCard→ 保留前4位+后4位，中间掩码
注意：XPath表达式需考虑默认命名空间，否则//ns:phone会匹配失败；建议先调用register_namespace()或使用{http://xxx}phone写法。
脱敏逻辑要区分文本节点与属性值
同一个字段可能以文本形式出现（<email>test@domain.com</email>），也可能作为属性（<user email="test@domain.com"></user>）。两者处理方式不同：
- 文本节点：修改
node.text（ElementTree）或node.getNodeValue()（DOM） - 属性值：遍历
node.attrib（ET）或调用node.setAttribute("email", masked)（DOM） - 避免误改注释或处理指令：跳过
Comment、ProcessingInstruction类型节点
import xml.etree.ElementTree as ET
tree = ET.parse("data.xml")
root = tree.getroot()
for elem in root.findall(".//email"):
if elem.text and "@" in elem.text:
elem.text = "xxx@xxx.com"
for elem in root.iter():
if "email" in elem.attrib:
elem.set("email", "xxx@xxx.com")
tree.write("masked.xml", encoding="utf-8")
映射过程本身不负责脱敏，但可能破坏脱敏结果
如果后续要用XSLT转换、JAXB反序列化或Jackson XML绑定，要注意这些工具可能忽略已修改的文本内容——比如JAXB的@XmlTransient跳过字段，或XSLT模板里硬编码了<value-of select="email"></value-of>却没检查是否已被替换。更隐蔽的问题是字符编码：脱敏后插入中文星号（★）或全角字符，而目标系统只接受ASCII，导致解析失败。
最容易被忽略的一点：脱敏后的XML仍需通过原始XSD校验。若原schema规定idCard是18位数字，而你替换成110101****12345678，校验会失败。此时要么放宽XSD约束，要么改用符合格式的假数据（如生成合法但无效的身份证号）。
