XML转Base64前须规范化换行与空白，显式指定UTF-8编码，移除非必要属性；JSON中应使用自解释字段名（如xml_b64）并避免冗余字段；传输超大XML需分块，解码后必须校验结构并禁用外部实体。
XML转Base64前必须先规范化换行和空白
直接对原始XML字符串调用 base64.b64encode() 或 btoa() 很容易在接收端解码失败，尤其当XML含Windows风格换行（\r\n）或BOM头时。不同语言的XML序列化默认行为不一致：Python的 xml.etree.ElementTree 不自动标准化换行，JavaScript的 XMLSerializer 可能插入多余空格。
- Python中优先用
etree.tostring(root, encoding="utf-8", method="xml")，显式指定编码，避免默认ASCII导致乱码 - Node.js推荐用
new XMLSerializer().serializeToString(doc)后，再用Buffer.from(str, "utf8").toString("base64") - 务必移除XML声明中的
standalone="yes"等非必要属性——某些解析器会因字段缺失报错
JSON字段名要明确标识Base64编码状态
只把XML内容塞进一个叫 data 的字段里，等于埋雷。下游服务无法判断该字段是明文XML、Base64还是其他编码，更没法决定是否自动解码。
- 字段命名建议用
xml_b64或payload_xml_base64，比content更具自解释性 - 不要在JSON里同时存在
xml_raw和xml_b64—— 二选一，避免歧义和同步错误 - 若需兼容旧接口，可在同级加
encoding: "base64"字段，但必须强制校验值为"base64"，不能接受空值或"b64"等别名
传输中注意Base64字符串的JSON合法性
Base64字符集（A–Z a–z 0–9 + / =）本身合法，但 + 和 / 在URL场景下可能被服务端误解析；更隐蔽的问题是：某些老旧JSON解析器（如部分嵌入式设备固件）对超长字符串（>1MB）截断或静默失败。
- 如走HTTP，建议在Header中加
Content-Transfer-Encoding: base64，而非仅靠JSON字段暗示 - 单次传输XML超过256KB时，考虑拆成多段并加
chunk_index和chunk_total字段，避免JSON解析器OOM - 绝对不要用
atob()解码含换行符的Base64字符串——它只认无换行格式；后端用base64.b64decode()则自动忽略空白，更鲁棒
解码后必须验证XML结构有效性
Base64只是编码层，不保证内容正确。攻击者可提交伪造的Base64字符串，解码后得到非法XML，触发XXE、DoS或解析异常。
- 解码后第一步不是解析，而是用
xml.etree.ElementTree.fromstring()尝试加载，捕获ParseError并拒绝整条请求 - 禁用外部实体：Python中传
parser=etree.XMLParser(resolve_entities=False)，Java中设setFeature("http://apache.org/xml/features/disallow-doctype-decl", true) - 如果XML有固定Schema，应在解码后立即用
lxml.etree.XMLSchema或xsd.validate()校验，而不是等到业务逻辑里才报错
