XSLT安全使用需禁用脚本与document()函数、限制XmlResolver权限，并在PHP中通过setSecurityPrefs关闭外部实体与运行时功能以防XXE。
phpEnv 中找不到 xsl 扩展模块
默认安装的 phpEnv 不启用 XSL，因为 xsl 依赖系统级的 libxslt 库，Windows 下需手动补全 DLL 并配置。直接在 php.ini 里加 extension=php_xsl.dll 会报错“找不到指定模块”，本质是缺底层 C 库支持。
实操建议：
- 确认你用的是 phpEnv 官方打包版（非精简版），其
ext/目录下应存在php_xsl.dll—— 若没有，说明该版本未编译此扩展，需换用含 XSL 的 PHP 版本（如 PHP 8.1 VC15 TS） - 检查
phpinfo()页面中 “libxml” 部分是否显示libxslt enabled；若为disabled，光开扩展没用，得重装带 XSL 支持的 PHP 包 - Windows 上不要试图自己下载第三方
php_xsl.dll，版本、线程模型（TS/NTS）、VC 编译器版本（VC15/VC17）必须与当前 PHP 完全一致，否则加载失败且无明确提示
启用前必须关闭外部实体解析（防 XXE）
XSLTProcessor 默认允许加载外部 DTD 和样式表，若处理用户提交的 XSL 或 XML，可能触发 XXE 攻击。这不是可选项，是安全底线。
正确做法是创建处理器后立即禁用：
立即学习“PHP免费学习笔记（深入）”；
$xsl = new XSLTProcessor(); $xsl->setSecurityPrefs(XSLTPROCESSOR::SECURITY_PREF_DISABLE_EXTERNAL | XSLTPROCESSOR::SECURITY_PREF_DISABLE_RUNTIME);
注意：XSLTPROCESSOR::SECURITY_PREF_DISABLE_RUNTIME 还能防止 <xsl:eval> 类危险指令执行，PHP 8.0+ 推荐加上。
常见错误：只调 $xsl->importStylesheet() 就开始 transformToDoc()，中间跳过安全设置，此时攻击者传入恶意 XSL 即可读取服务器任意文件。
transformToXml() 返回空字符串的典型原因
不是代码写错，而是三类底层阻断导致输出为空：
- XML 源文档有语法错误（如未闭合标签、非法字符），
DOMDocument::loadXML()内部静默失败，后续transformToXml()无输入可处理 → 建议先用$doc->validateOnParse = true;并检查$doc->parseErrors - XSL 样式表本身含错误（如
<xsl:template match="xxx">中的 xpath 表达式无效），importStylesheet()不报错但内部编译失败 → 可临时加libxslt错误回调：libxslt_set_error_handler(function($msg) { error_log($msg); }); - 输出编码不匹配：源 XML 声明为
encoding="GBK"，但 PHP 脚本环境默认 UTF-8，transformToXml()可能因编码冲突返回空 → 解决方法是统一转为 UTF-8：$doc->encoding = 'UTF-8'; $xslDoc->encoding = 'UTF-8';
小文件用 XSLTProcessor，大文件别硬扛
XML + XSL 合并后内存占用通常是原始 XML 的 3–5 倍。一个 10MB 的 XML 经 XSL 转换，PHP 进程可能吃掉 40MB+ 内存，超限直接 Fatal error: Allowed memory size exhausted。
替代方案：
- 改用命令行调用系统
xsltproc工具（Linux/macOS）或msxsl.exe（Windows），通过proc_open()管道传递数据，内存隔离 - 对超大 XML，先用
XMLReader流式提取关键节点，生成轻量 XML 片段，再交给XSLTProcessor处理，避免整文档加载 - 若只是做简单标签替换（如 XML → HTML），别上 XSL，用
SimpleXML+ 自定义遍历更稳、更快、内存可控
真正容易被忽略的是：XSL 转换不是“打开就用”的功能，它依赖底层库状态、编码一致性、安全策略和内存边界——漏掉任一环，表现都是“没反应”或“返回空”，而不是报错。
