PHP处理XML最稳妥方式是：小中型结构用SimpleXML（需注意编码、破折号节点和数组判断），大型或不可信XML用禁用XXE的XMLReader流式解析，禁用DOMDocument默认外部实体以防漏洞。
PHP 处理 XML 最稳妥的方式是用 SimpleXML 解析简单结构，用 XMLReader 流式处理大文件，别直接用 DOMDocument::loadXML() 读未清理的用户输入——容易触发 XXE 或内存溢出。
用 SimpleXML 解析小到中等 XML（推荐入门）
它把 XML 转成对象树，写法简洁，适合配置文件、API 返回体这类结构清晰、体积不大的数据。
- 必须确保 XML 字符编码一致（通常是 UTF-8），否则
simplexml_load_string()可能返回false且不报错 - 节点名含破折号（如
<user-id></user-id>）不能用$xml->user-id访问，得用$xml->{'user-id'} - 同名多个子节点会自动转为数组，但只有一个时是对象——判断前先用
is_array()检查，否则遍历时可能报Fatal error: Cannot use object of type SimpleXMLElement as array - 示例：
$xml = simplexml_load_string('<root><item>a</item><item>b</item></root>');<br>if (is_array($xml->item)) {<br> foreach ($xml->item as $i) echo (string)$i;<br>} else {<br> echo (string)$xml->item;<br>}
用 XMLReader 处理大 XML 文件（防内存爆炸）
当 XML 超过几 MB，或来自不可信来源（比如用户上传的订单文件），SimpleXML 和 DOM 会一次性加载全部内容进内存，极易 OOM。此时应改用基于游标的 XMLReader。
- 默认启用外部实体解析（XXE），必须显式禁用：
$reader->setParserProperty(XMLReader::SUBST_ENTITIES, false) - 它不自动展开命名空间，遇到带
xmlns的文档需手动调用moveToAttribute('xmlns')或用lookupNamespace() - 只支持向前读取，无法回退；想提取某段内容后继续处理，得靠
readOuterXml()暂存片段再用simplexml_load_string()二次解析 - 典型循环结构：
$reader = new XMLReader();<br>$reader->open('data.xml');<br>while ($reader->read()) {<br> if ($reader->nodeType === XMLReader::ELEMENT && $reader->localName === 'record') {<br> $xmlStr = $reader->readOuterXml();<br> $item = simplexml_load_string($xmlStr);<br> // 处理单条记录<br> }<br>}
避免踩 DOMDocument 的坑：编码、错误抑制与实体陷阱
DOMDocument 功能全但细节多，新手容易在三处翻车：编码混乱、警告淹没、XML 实体被误执行。
立即学习“PHP免费学习笔记（深入）”；
- 加载前务必设置
$dom->encoding = 'UTF-8'，并用mb_convert_encoding()预处理非 UTF-8 输入，否则中文变乱码且saveXML()可能失败 -
libxml_use_internal_errors(true)必须在loadXML()前调用，否则格式错误直接抛 Warning，无法捕获 - 绝对不要对用户提交的 XML 调用
$dom->loadXML($input)—— 默认开启外部实体，攻击者可构造泄露文件 - 安全写法：
libxml_use_internal_errors(true);<br>$dom = new DOMDocument();<br>$dom->resolveExternals = false;<br>$dom->substituteEntities = false;<br>$dom->loadXML($input);
真正麻烦的不是语法，而是 XML 的隐式行为：编码声明和实际字节不一致、命名空间默认绑定、空元素被解析成自闭合还是起止标签……这些不会报错，但会让 SimpleXML 找不到节点，或 XMLReader 跳过预期内容。上线前务必用真实数据样本跑一遍，别只测 hello world 级别的 XML。
