必须仅加密password字段内容并Base64编码后替换，保留XML结构；禁用正则处理，应使用DocumentBuilder解析并遍历password节点进行精准替换。
XML 中只加密 password 字段，不碰其他内容
直接改 XML 结构或整体加密文件会破坏配置兼容性，多数系统（如 Spring、Log4j、自定义解析器）只认明文 XML 格式。真正可行的路是：保留 XML 结构和标签，仅把 password 元素的文本内容替换成加密后的 Base64 字符串。
常见错误是用 AES 加密后直接塞进 XML，结果解析时报 org.xml.sax.SAXParseException: Invalid byte——因为原始密文含不可见控制字符或非法 XML 字符。必须加密后再做 Base64 编码，确保结果全是可打印 ASCII。
- 加密前先 trim() 原始密码值，避免前后空格导致解密后登录失败
- 密钥不能硬编码在代码里，至少从环境变量或独立密钥文件读取
- 推荐用 AES/GCM 模式（带认证），别用 ECB 或 CBC+PKCS5 —— 后者易受填充预言攻击，且无完整性校验
Java 用 Cipher + Base64 加密单个 password 值
Java 8+ 自带实现，不用额外依赖。关键不是“怎么加解密”，而是“怎么精准定位并替换 XML 里的 password 文本节点”——别用正则去匹配 XML，它会漏掉换行、属性顺序变化、CDATA 等边界情况。
正确做法是用 DocumentBuilder 解析 XML，遍历元素，对每个 password 元素调用加密函数：
Document doc = DocumentBuilderFactory.newInstance().newDocumentBuilder().parse(xmlFile);
NodeList pwdNodes = doc.getElementsByTagName("password");
for (int i = 0; i < pwdNodes.getLength(); i++) {
Element pwdEl = (Element) pwdNodes.item(i);
String raw = pwdEl.getTextContent().trim();
String encrypted = encryptAES(raw, key); // 返回 Base64 字符串
pwdEl.setTextContent(encrypted);
}
注意：encryptAES() 必须固定 IV（比如全零）或把 IV 一起存进 XML 属性（如 <password iv="abcd1234">），否则每次加密结果不同，无法稳定解密。
Python 解析时自动解密 password 节点内容
运行时解密比构建时解密更安全——密钥不落地到 XML 文件中。但 Python 的 xml.etree.ElementTree 默认不支持自定义解析逻辑，得在读取后手动处理。
典型陷阱：用 findtext("password") 取值后直接解密，结果遇到嵌套结构（如 <db><password>xxx</password></db>）就失效。应递归遍历所有元素：
- 检查
elem.tag == "password"，且elem.text非空、非空白 - 若
elem.get("encrypted") == "true"（建议加个标记属性），才走解密流程 - 解密失败时抛出
ValueError("Failed to decrypt password field")，别静默返回空字符串 - 避免用
pycryptodome的AES.new(..., mode=AES.MODE_ECB)—— ECB 不安全，且不校验完整性
加密后 XML 仍要能被原系统直接加载
核心约束：加密不能改变 XML 的 schema、命名空间、属性、注释、缩进风格。很多老系统靠 XPath //config/password/text() 取值，你一动结构就挂。
所以加密后必须保证：
-
password元素仍是普通文本节点，不是 CDATA；CDATA 里放 Base64 会导致某些 DOM 实现多一层转义 - 不新增任何 namespace 声明（如
xmlns:enc="..."），除非原 XML 已有且系统明确支持 - 加密后的字符串长度可能变长（AES-128 + Base64 后约增 33%），确认目标字段长度限制是否宽松（比如数据库 password 字段 varchar(255) 是否够）
最易被忽略的一点：XML 声明中的编码声明（<?xml version="1.0" encoding="UTF-8"?>）必须和实际保存编码一致。用 UTF-8 加密再用 GBK 保存，Base64 字符会被截断，解密必错。
