CodeIgniter和Yii2安全解析XML需手动禁用外部实体：上传后调用libxml_disable_entity_loader(true)，并用simplexml_load_file()或DOMDocument加载文件，同时处理编码、错误检查及服务器配置。
CodeIgniter 中如何安全上传文件并解析 XML
CodeIgniter 3 自带的 upload 类能完成基础上传，但默认不校验 XML 内容合法性，容易因恶意构造的 XML 引发 XXE 或解析失败。关键在于上传后手动加载并配置 libxml_disable_entity_loader(true)。
- 使用
$this->upload->do_upload('file')接收文件，upload_path必须是绝对路径（如FCPATH . 'uploads/'），且目录需有写权限 - 上传成功后，用
simplexml_load_file()解析前必须禁用外部实体：libxml_disable_entity_loader(true); $xml = simplexml_load_file($upload_data['full_path']);
- 若 XML 编码非 UTF-8（如 GBK），需先用
mb_convert_encoding()转换，否则simplexml_load_file()可能静默失败 - 不要直接把
$_FILES传给simplexml_load_string()—— 它读的是临时文件内容，不是原始字节流，出错时难定位
Yii2 中上传 XML 文件并防止 XXE 攻击
Yii2 的 UploadedFile::getInstance() 只负责接收，XML 解析需交由 XmlParser 或原生扩展，但默认不设防。必须显式关闭实体加载，并避免使用 DOMDocument::load() 这类宽松接口。
- 验证上传字段：用
['file', 'extensions' => 'xml', 'maxSize' => 2097152]在规则中限制扩展名和大小 - 保存后解析前，强制设置 libxml 选项：
libxml_disable_entity_loader(true); libxml_use_internal_errors(true); // 抑制警告，改用 get_errors() $xml = simplexml_load_file($file->tempName);
- 若需 DOM 操作，改用
new DOMDocument()实例后立即调用：$dom = new DOMDocument(); $dom->load($file->tempName, LIBXML_NOENT | LIBXML_DTDLOAD | LIBXML_NONET);
其中LIBXML_NOENT和LIBXML_NONET是关键防护 - Yii2 的
yii\helpers\Xml::parse()不处理 XXE，仅做基础解析，不能替代上述配置
两个框架共有的 XML 解析陷阱
无论用哪个框架，只要调用 PHP 的 XML 扩展，就绕不开 libxml 的默认行为。开发者常误以为“框架封装了安全”，实际只是封装了流程。
-
simplexml_load_string()和simplexml_load_file()默认启用外部实体，攻击者可利用file:///etc/passwd等 URI 读取服务器文件 - 上传表单未设
enctype="multipart/form-data"会导致$_FILES为空，但框架可能抛出模糊错误（如 “Unable to open file”），而非提示编码类型错误 - XML 声明中的编码（如
<?xml version="1.0" encoding="ISO-8859-1"?>）与实际字节不一致时，simplexml会返回false且无明确报错，需配合libxml_get_errors()检查 - 大 XML 文件（>5MB）在 CodeIgniter 中需同步调整
php.ini的post_max_size和upload_max_filesize，Yii2 还要检查requestEntityBody行为（Nginx 场景下尤其注意）
