PHP 8.0 XML处理须重构：优先用DOMDocument并设resolveExternals=false及LIBXML_NOENT|LIBXML_DTDATTR；SAX解析需用xml_parser_create()配合双set_option禁用DTD；SimpleXML禁用于不可信输入；无默认安全机制，漏配即存XXE风险。
PHP 8.0 的 XML 处理库选择逻辑
PHP 8.0 已彻底移除 libxml_disable_entity_loader()，且 xml_parser_free() 在 8.5.0 起被弃用，这意味着你必须按新版规范重构所有 XML 解析逻辑，否则会触发弃用警告甚至运行时失败。
第一步：优先使用 DOMDocument 类，并显式关闭外部实体加载能力：
$dom = new DOMDocument();
$dom->resolveExternals = false;
$dom->loadXML($xml, LIBXML_NOENT | LIBXML_DTDATTR);
这一步必须写全两个选项——【LIBXML_NOENT 会触发实体替换，LIBXML_DTDATTR 会读取 DTD 属性，二者同时启用反而重新激活 XXE 风险】。只设 resolveExternals = false 不够，它仅影响 load() 系列方法，对 loadXML() 中内联 DTD 无效。
立即学习“PHP免费学习笔记（深入）”；
第二步：若必须用 SAX 风格解析（如流式处理大文件），改用 xml_parser_create() + 手动禁用：
$parser = xml_parser_create();
xml_parser_set_option($parser, XML_OPTION_LOAD_EXT_DTD, false);
xml_parser_set_option($parser, XML_OPTION_DTD_ATTR, false);
注意：PHP 8.0+ 中 XMLParser 是对象类型，不能再当 resource 传给旧式函数；传错类型会直接报致命错误，不是警告。
第三步：禁止使用 SimpleXML 加载含 DTD 的 XML——simplexml_load_string($xml) 默认启用外部实体，且无安全开关。必须加 LIBXML_NOENT | LIBXML_NONET 才能抑制，但即便如此，仍不推荐用于不可信输入。
Java 21 的 XML 处理库默认行为差异
Java 21 的 javax.xml.parsers 和 org.w3c.dom 默认已强制关闭外部实体，无需手动配置即可防御基础 XXE，这是与 PHP 8.0 最根本的区别。
方法一：使用 DocumentBuilder 时，JDK 内置防护已生效：
DocumentBuilderFactory factory = DocumentBuilderFactory.newInstance();
factory.setFeature("http://apache.org/xml/features/disallow-doctype-decl", true);
factory.setFeature("http://xml.org/sax/features/external-general-entities", false);
factory.setFeature("http://xml.org/sax/features/external-parameter-entities", false);
这三行在 Java 21 中其实已是冗余——只要没显式开启，全部为 false。但保留它们可提高跨 JDK 版本兼容性，尤其当你代码可能跑在旧版 JDK 上时。
方法二：若用 Jackson 的 jackson-dataformat-xml，需额外设置：
XmlMapper mapper = new XmlMapper();
mapper.configure(FromXmlParser.Feature.USE_JSOG, false);
mapper.disable(DeserializationFeature.FAIL_ON_UNKNOWN_PROPERTIES);
它不默认处理 XXE，必须配合底层 DocumentBuilderFactory 实例定制，否则仍存在风险。
关键迁移陷阱：PHP 8.0 没有“默认安全”
Java 21 的 XML 解析器开箱即防 XXE，PHP 8.0 没有等价机制。所有解析入口都需显式加固，漏掉任意一个就可能沦陷。
比如用 simplexml_load_file() 读取远程 XML，即使设置了 libxml_disable_entity_loader(true)，该函数在 PHP 8.0+ 中已失效，调用后无任何效果，还会抛出弃用警告。
又比如用 DOMDocument::loadHTML() 解析含 XML 声明的混合内容，它绕过 resolveExternals 控制，必须改用 loadXML() 并传入严格选项组合。
最后检查所有 xml_parser_*() 调用链：确认每个 xml_parser_create() 后紧跟两行 set_option，缺一不可。
