CodeIgniter处理XML需严防XXE漏洞，解析前必设libxml_disable_entity_loader(true)，上传/远程XML须转码UTF-8并校验错误；生成XML推荐SimpleXML动态构建或RestServer自动转换；XML-RPC仅CI3支持且PHP7+不可用。
CodeIgniter 中处理 XML 数据交换，核心在于安全解析外部来源的 XML（如 API 响应、上传文件、第三方服务返回），以及按需生成符合规范的 XML 输出。这不是框架自动完成的事，而是需要你主动控制解析器行为、编码转换和结构组装。
解析远程或上传的 XML 文件（防 XXE 是前提）
无论 XML 来自 cURL 请求响应、用户上传，还是本地配置文件，只要用到 simplexml_load_file() 或 simplexml_load_string()，就必须先禁用外部实体加载——否则存在 XXE 漏洞风险，攻击者可能读取服务器敏感文件（如 /etc/passwd）。
- 上传后解析：调用
$this->upload->do_upload('xml_file')成功后，在读取前加一行：libxml_disable_entity_loader(true);
再执行$xml = simplexml_load_file($upload_data['full_path']); - 远程请求解析：cURL 获取原始 XML 字符串后，用
simplexml_load_string()前同样要设libxml_disable_entity_loader(true)；若含中文或 GBK 编码，先转 UTF-8：$xml_str = mb_convert_encoding($raw_xml, 'UTF-8', 'GBK'); - 错误处理不能省：启用
libxml_use_internal_errors(true)，之后用libxml_get_errors()检查解析失败原因，避免静默失败
生成标准 XML 响应（适配 REST 或客户端需求）
CodeIgniter RestServer 库原生支持 XML 输出格式，但生成结构化 XML 更推荐手动构建，确保字段名、层级、CDATA 使用可控。
- 用 PHP 原生方式拼接：对简单结构，可直接用字符串组装，注意转义特殊字符（
<→） - 用 SimpleXML 动态创建：
$xml = new SimpleXMLElement('<response></response>');$xml->addChild('status', 'success');$xml->addChild('data')->addChild('item', 'value');
最后用asXML()输出或保存 - RestServer 场景下：控制器方法中返回数组，框架会自动转为 XML（前提是配置了
'xml'在rest_supported_formats中，并且请求头带Accept: application/xml）
对接 XML-RPC 服务（仅限 CI3，PHP<7.0）
XML-RPC 是较老但仍有遗留系统使用的协议。CodeIgniter 3 自带 xmlrpc 类，用于发起请求或搭建服务端，但需注意兼容性限制。
- 发送请求：加载库后设置目标服务器、方法名和参数数组，调用
send_request()即可 - 搭建服务端：定义控制器方法接收请求，用
$request->output_parameters()提取参数，校验后调用send_response()返回结构化数组 - 重要提醒：PHP 7.0+ 已移除
each()函数，而 CI3 的 XML-RPC 类依赖它，因此该功能在新版 PHP 中不可用；如需 XML-RPC，应降级环境或改用纯 curl + 手动 XML 构造
避免常见陷阱
很多问题不是代码写错，而是忽略了底层 libxml 行为或框架边界。
- 不要把
$_FILES['file']['tmp_name']直接传给simplexml_load_string()——那是临时路径，应读取内容再解析；正确做法是file_get_contents()后转码再加载 - 表单上传必须声明
enctype="multipart/form-data"，否则$_FILES为空，CI 上传类会报“Unable to open file”这类模糊错误 - DOMDocument 加载时，务必加标志位：
$dom->load($file, LIBXML_NOENT | LIBXML_NONET)，其中LIBXML_NOENT禁用实体解析，LIBXML_NONET阻止网络请求
