必须用header()声明XML类型并用DOMDocument构建，避免字符串拼接、空白字符和编码问题，开发时先写入文件验证再输出。
直接用 header() 告诉浏览器这是 XML
PHP 默认输出是 HTML，不加声明的话，浏览器会把生成的 XML 当成 HTML 解析（比如把 <user> 当成未知标签忽略），甚至触发 XSS 过滤或乱码。必须在输出任何内容前调用：
header('Content-Type: application/xml; charset=utf-8');否则即使 XML 结构正确，也可能显示为空白页、下载弹窗，或被当成纯文本渲染。
用 DOMDocument 构建比字符串拼接更安全
手动拼接 "<item>$value</item>" 容易出问题：特殊字符（如 &、<）未转义会导致 XML 格式损坏；中文没设编码会乱码；节点嵌套错位难调试。推荐用原生 DOMDocument：
$doc = new DOMDocument('1.0', 'UTF-8');
$root = $doc->createElement('data');
$doc->appendChild($root);
$item = $doc->createElement('item');
$item->appendChild($doc->createTextNode('苹果 & 香蕉'));
$root->appendChild($item);
echo $doc->saveXML();它自动处理转义、编码声明和格式缩进（可选），且支持后续增删节点。
避免 echo 或 print 混入空白字符
常见错误是 PHP 文件末尾有多余换行、空格，或 include 的文件带 BOM / 末尾空行，导致 XML 输出开头出现不可见字符，浏览器报错：XML declaration not well-formed 或 error on line 1 at column 1。务必检查：
- 所有 PHP 文件保存为 UTF-8 无 BOM 格式
- 关闭输出缓冲前不 echo 任何东西（包括空格）
- 用
ob_clean()和ob_end_flush()清理潜在输出
调试时先写入文件再验证结构
浏览器对 XML 错误极其严格，一个属性少引号、标签没闭合就会整个失败。开发阶段别急着直接输出到浏览器，先写入本地文件：
$xmlString = $doc->saveXML();
file_put_contents('/tmp/debug.xml', $xmlString);然后用浏览器或命令行 xmllint --noout /tmp/debug.xml 验证合法性。确认无误后再切回 echo 输出——很多看似“逻辑通”的 PHP 代码，其实只是 XML 结构侥幸没被浏览器拦截。 
