PHP操作XML需据场景三档选型：小而规整用SimpleXML，大而不可信用XMLReader，需修改结构或处理命名空间则用DOMDocument；须预处理编码、禁用外部实体、做类型与数组判断以防静默失败、XXE攻击及乱码等问题。
PHP操作XML文档没有“万能方案”，得按文件大小、结构复杂度和安全要求分三档选：小而规整用 SimpleXML，大而不可信用 XMLReader，要改结构或带命名空间就上 DOMDocument。别一上来就用 DOMDocument::loadXML() 解析用户输入——XXE 和内存溢出风险都在那儿等着。
SimpleXML 读取时为什么返回 false 却不报错？
最常见原因是编码不一致，尤其是非 UTF-8 输入（如 GBK、ISO-8859-1）直接传给 simplexml_load_string()，函数静默失败，返回 false。
- 必须在调用前用
mb_convert_encoding($xmlStr, 'UTF-8', 'auto')做预处理 - 加载后立刻检查返回值：
if ($xml === false) { libxml_get_errors(); }，否则错误被吞掉 - 节点名含破折号（如
<user-id></user-id>）不能写$xml->user-id，得用$xml->{'user-id'} - 同名子节点只有一个时是对象，多个时自动转数组——遍历前务必
is_array($xml->item)判断，否则foreach报致命错误
XMLReader 处理大文件时如何避免 XXE 攻击？
XMLReader 默认开启外部实体解析，攻击者构造恶意 DTD 就能读取服务器本地文件或发起 SSRF。这不是配置问题，是默认行为陷阱。
- 创建实例后第一件事就是禁用：
$reader->setParserProperty(XMLReader::SUBST_ENTITIES, false) - 它不自动处理命名空间，遇到
<record xmlns:ns="http://example.com"></record>，得手动调用$reader->lookupNamespace('ns')获取 URI - 只支持单向读取，想提取某段再解析，得用
$reader->readOuterXml()拿到完整片段，再喂给simplexml_load_string() - 别忘了最后调用
$reader->close()，否则文件句柄泄漏
DOMDocument 修改 XML 后中文变乱码？
根本原因不是 PHP 版本，而是 DOMDocument 对编码的“双重忽视”：既不自动识别源 XML 的 encoding 声明，也不强制输出时保持输入编码。
立即学习“PHP免费学习笔记（深入）”；
- 加载前设编码：
$dom->encoding = 'UTF-8' - 非 UTF-8 源文件必须先转码：
$content = mb_convert_encoding(file_get_contents('data.xml'), 'UTF-8', 'GBK') - 输出前开启格式化：
$dom->formatOutput = true，否则saveXML()可能丢空格、换行，甚至破坏结构 - 修改节点内容时，确保赋值是字符串类型：
$node->nodeValue = (string)$newVal，否则数字或布尔值可能被当对象处理
真正难的不是语法，是边界判断：SimpleXML 的数组/对象二象性、XMLReader 的游标不可逆、DOMDocument 的编码隐式转换——这些地方不写防御性检查，上线后出问题连日志都难定位。
