XMLReader能避免OOM因其游标式解析、内存恒定KB级，而SimpleXML和DOMDocument需全量加载；必须禁用XXE并及时unset变量防泄漏。
XMLReader为什么能避免OOM，而SimpleXML不能
SimpleXML和DOMDocument都会把整个XML树一次性加载进内存，哪怕只是读取一个<item></item>字段，也得先把几MB甚至GB级的文件全解析成对象。XMLReader是游标式只读解析器，它不建树、不缓存、不回溯，每次read()只推进到下一个节点，内存占用恒定在KB级。实测某500MB证书列表XML，SimpleXML直接触发Fatal error: Allowed memory size exhausted，XMLReader全程稳定在2MB内存内。
必须禁用XXE，否则XMLReader::open()可能执行远程实体
XMLReader默认开启外部实体解析（XXE），攻击者若提交含 ]>的XML，你的服务器会主动发起外连——这不仅是安全漏洞，还可能导致解析卡死或超时。必须在open()前显式关闭：
$reader = new XMLReader();
$reader->setParserProperty(XMLReader::SUBST_ENTITIES, false);
$reader->open('data.xml');
漏掉这行，哪怕文件本身合法，只要内容来自用户输入，风险就存在。
怎么提取<record></record>节点内容并转成数组
XMLReader不提供“取子树”方法，你得手动捕获片段再交由SimpleXML二次解析。关键点有三个：用readOuterXml()而非readInnerXml()（保留根标签）、检查nodeType === XMLReader::ELEMENT后再读、及时unset($item)释放局部对象。
立即学习“PHP免费学习笔记（深入）”；
常见错误写法：$reader->readInnerXml()会丢掉<record></record>自身，导致simplexml_load_string()失败；或者在循环里反复new SimpleXMLElement却不unset，内存缓慢爬升。
正确流程如下：
- 遇到
<record></record>开始标签时，调用$reader->readOuterXml()拿到完整字符串 - 用
simplexml_load_string($xmlStr)解析该片段，此时体积小、结构可控 - 用
(array) $item或json_decode(json_encode($item), true)转为关联数组（注意命名空间需提前处理） - 处理完立即
unset($item, $xmlStr)，避免引用滞留
从php://input流直接解析，别用file_get_contents()
接收HTTP POST的原始XML体时，file_get_contents('php://input')会把整段数据载入内存，对大文件等于自找OOM。应改用XMLReader直读流：
$reader = new XMLReader();
libxml_disable_entity_loader(true); // 双重保险
$reader->setParserProperty(XMLReader::SUBST_ENTITIES, false);
$reader->open('php://input', null, LIBXML_NOCDATA);
这里容易忽略两点：一是LIBXML_NOCDATA防止CDATA块被转义，二是open()第二个参数null表示不指定编码，靠XML声明自行识别（前提是客户端发的是UTF-8且带<?xml version="1.0" encoding="UTF-8"?>）。
如果XML来自不可信来源且无编码声明，先用mb_detect_encoding()预判再mb_convert_encoding()转UTF-8，否则read()可能中途返回false且无提示。
unset()局部变量和libxml_disable_entity_loader(true)这两步——它们不报错，但会在高并发或恶意输入下突然暴露内存泄漏或安全缺口。 
