PHP需手动读取php://input获取XML数据，校验Content-Type为XML，用DOMDocument禁用外部实体解析，并处理编码异常与日志安全。
如果您通过表单提交 XML 格式的数据（例如使用 POST 方式发送 raw XML 内容），PHP 默认不会自动解析该数据，需手动读取原始输入流并进行处理。以下是接收 XML 表单数据的具体步骤：
一、使用 php://input 读取原始 XML 数据
当客户端以 Content-Type: application/xml 或 text/xml 发送 XML 数据时，PHP 不会将其放入 $_POST，而需直接读取输入流。php://input 是只读流，可获取原始请求体内容。
1、确保 Web 服务器未启用 mod_security 或其他中间件拦截 raw POST 数据。
2、在 PHP 脚本开头调用 file_get_contents('php://input') 获取 XML 字符串。
立即学习“PHP免费学习笔记（深入）”；
3、检查是否成功读取：若返回空字符串，可能因请求方法非 POST、Content-Type 不匹配或数据已被其他扩展读取（如 enctype="multipart/form-data"）。
4、使用 simplexml_load_string() 或 DOMDocument 加载解析 XML 字符串。
二、设置正确的 Content-Type 并验证请求头
接收端需确认客户端确实以 XML 格式提交，避免误处理 JSON 或表单编码数据。通过 $_SERVER['CONTENT_TYPE'] 判断请求类型可提升健壮性。
1、使用 strpos($_SERVER['CONTENT_TYPE'], 'application/xml') !== false 或 str_contains($_SERVER['CONTENT_TYPE'], 'xml') 进行类型校验。
2、若不匹配，返回 HTTP 状态码 415（Unsupported Media Type）并终止脚本执行。
3、对传入的 XML 字符串执行 trim() 去除首尾空白，防止 simplexml_load_string() 因 BOM 或换行报错。
4、设置 error_reporting(0) 或 libxml_use_internal_errors(true) 抑制 XML 解析警告，便于后续捕获 libxml_get_errors()。
三、使用 DOMDocument 安全加载 XML 并禁用外部实体
为防止 XXE（XML External Entity）攻击，必须显式禁用外部实体加载和网络请求。DOMDocument 提供更细粒度的控制能力，适合处理不可信来源的 XML。
1、实例化 DOMDocument 对象：$dom = new DOMDocument();
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。
2、设置属性：$dom->loadXML($xmlString, LIBXML_NOENT | LIBXML_DTDLOAD | LIBXML_NONET);
3、关键操作：必须添加 LIBXML_NOENT 和 LIBXML_NONET 标志，否则可能触发远程文件读取或 DoS 攻击。
4、使用 $dom->documentElement 获取根节点，再通过 getElementsByTagName() 或 XPath 查询所需字段。
四、从 cURL 或 AJAX 提交中提取 XML 并写入日志调试
开发阶段常需确认接收到的原始 XML 是否符合预期。将原始数据记录到文件有助于排查编码、格式或传输截断问题。
1、使用 file_put_contents('/tmp/received.xml', $rawXml, FILE_APPEND | LOCK_EX) 将原始内容追加写入临时文件。
2、在写入前对 $rawXml 执行 htmlspecialchars($rawXml, ENT_XML1, 'UTF-8') 防止日志文件被注入恶意标签。
3、检查日志文件编码是否为 UTF-8，若含中文乱码，需确认客户端是否声明 。
4、注意：生产环境禁用此方式，避免敏感数据泄露至文件系统。
五、处理编码异常与 UTF-8 校验
XML 声明中的 encoding 属性与实际字节流不符时，simplexml_load_string() 会抛出 Warning 并返回 false。需提前检测并转换编码。
1、使用 mb_detect_encoding($rawXml, ['UTF-8', 'GBK', 'ISO-8859-1'], true) 推测原始编码。
2、若检测结果非 UTF-8，调用 mb_convert_encoding($rawXml, 'UTF-8', $detectedEncoding) 转换。
3、使用 mb_check_encoding($rawXml, 'UTF-8') 验证转换后是否合法 UTF-8，否则替换非法字节：$cleanXml = mb_convert_encoding($rawXml, 'UTF-8', 'UTF-8');
4、必须确保 simplexml_load_string() 的第二个参数为 null（默认 UTF-8），不可传入其他编码名。
