Wireshark本身不区分XML上传，仅捕获原始网络包；需目标程序以HTTP POST明文发送XML（Content-Type为application/xml或text/xml），且未加密、未嵌套、未走HTTPS/WS，才能捕获；可用过滤表达式http.request.method == "POST" && http.content_type contains "xml"定位。
确认XML是通过HTTP POST上传的
Wireshark本身不区分“XML上传”，它只抓原始网络包。真正要抓到XML内容，前提是目标程序确实用HTTP POST把XML数据发出去了——比如调用 fetch()、curl -X POST 或后端 HttpClient 发送，且Content-Type为 application/xml 或 text/xml。如果XML被加密、base64编码、塞进JSON字段里，或者走WebSocket/HTTPS未解密，Wireshark默认看不到明文XML。
过滤HTTP POST且含XML特征的流量
在Wireshark过滤栏输入以下任一表达式，快速定位可能含XML的上传请求：
http.request.method == "POST" && http.content_type contains "xml"http.request.method == "POST" && tcp.payload contains "<?xml "（注意：此方式依赖XML以明文开头，且payload未被分片截断）-
http.host == "api.example.com" && http.request.uri contains "/upload"（替换为你的实际域名和路径）
⚠️ 注意：tcp.payload 过滤对TLS加密流量无效；HTTPS下只能看到TLS握手和加密流，除非你配置了SSLKEYLOGFILE或使用本地代理解密。
从HTTP流中提取完整XML正文
找到目标POST包后，右键 → Follow → HTTP Stream，这是最可靠的方式查看完整请求体（含XML）。不要只看单个数据包的Line-based text data部分——XML常跨多个TCP段，单包可能只显示开头或乱码。
在HTTP流窗口中，XML正文通常位于空行之后、紧接在Content-Length声明的字节数范围内。若看到Content-Encoding: gzip，需先解压（Wireshark 4.0+ 支持自动解压，勾选 Decode as → HTTP 并启用gzip解析）。
HTTPS下抓XML必须做额外配置
绝大多数现代API都走HTTPS，此时Wireshark默认只能看到加密载荷。想看到明文XML，必须满足以下任一条件：
- 客户端支持并启用了
SSLKEYLOGFILE（如Chrome、Firefox、Java 9+、Pythonrequests+pyOpenSSL），且Wireshark已设置Preferences → Protocols → TLS → (Pre)-Master-Secret log filename - 流量经过本地HTTP代理（如Fiddler、mitmproxy），再由代理转发至目标，并在Wireshark中抓代理与服务器之间的明文HTTP（不推荐用于生产环境调试）
- 服务端日志直接输出原始请求体（绕过Wireshark）
没做这些，https:// 的POST XML永远是密文——这不是Wireshark的问题，是TLS的设计使然。
真正的难点从来不是“怎么点开Wireshark”，而是确认XML是否明文传输、是否被压缩、是否走TLS、以及你有没有权限解密。漏掉其中一环，看到的就只是TLSv1.3 Record Layer和一堆十六进制。
