能，但需前端用multipart/form-data编码提交且XML文件通过上传；PHP按HTTP协议解析而非扩展名处理，须检查$_FILES['error']、is_uploaded_file()及禁用XXE。
PHP中$_FILES能直接接收XML文件吗？
能，但必须满足两个前提：前端用multipart/form-data编码提交，且XML文件作为<input type="file">的值上传。PHP不会因为文件扩展名是.xml就特殊对待——它只按HTTP协议解析multipart数据，把文件信息存进$_FILES数组。关键不是“XML”，而是“文件上传”这个行为本身。
$_FILES上传XML后的常见错误现象
很多开发者卡在第一步：明明选了data.xml，var_dump($_FILES)却为空或报Undefined index。这通常不是XML的问题，而是基础配置没到位：
-
form标签漏了enctype="multipart/form-data" -
php.ini中file_uploads = Off或upload_max_filesize太小（XML虽小，但默认限制可能只有2M） - 表单
method不是POST -
$_FILES键名和<input name="xxx">不一致，比如写了name="xml_file"却去读$_FILES['file']
上传成功后怎么安全读取XML内容？
别直接用file_get_contents($_FILES['xml']['tmp_name'])拼接字符串再simplexml_load_string()——这是典型的安全陷阱。临时文件路径可能被污染，且未校验$_FILES['xml']['error'] === UPLOAD_ERR_OK就操作，会触发警告甚至解析空内容。
正确做法分三步：
立即学习“PHP免费学习笔记（深入）”；
- 先检查
$_FILES['xml']['error']是否为0 - 用
is_uploaded_file()确认文件确实在tmp_name下（防LFI） - 再用
file_get_contents()读取，传给simplexml_load_string()或xml_parser_create()
$xmlFile = $_FILES['xml'];
if ($xmlFile['error'] !== UPLOAD_ERR_OK) {
die('上传失败：' . $xmlFile['error']);
}
if (!is_uploaded_file($xmlFile['tmp_name'])) {
die('非法文件上传');
}
$xmlContent = file_get_contents($xmlFile['tmp_name']);
$xml = simplexml_load_string($xmlContent);
if ($xml === false) {
die('XML格式错误');
}
为什么不用move_uploaded_file()再读？
可以，但没必要绕路。XML文件通常很小，直接从tmp_name读取更快、更省内存。调用move_uploaded_file()只在你需要长期保存、或后续要由其他进程处理时才有意义。另外注意：move_uploaded_file()目标路径必须可写，且不能是用户可控的目录（否则可能覆盖.htaccess或写入Web可执行路径）。
真正容易被忽略的是XML外部实体（XXE）风险。如果用libxml_disable_entity_loader(false)（旧版PHP默认），攻击者上传含 ]>的XML就能读取服务器文件。务必在解析前禁用：
libxml_disable_entity_loader(true); $xml = simplexml_load_string($xmlContent);
