PHP 8.4 中 DOM API 默认免疫 XXE，因 libxml ≥2.9.12 默认禁用外部实体；关键在于避免 LIBXML_DTDLOAD | LIBXML_NOENT 组合、不调用已废弃的 libxml_disable_entity_loader(false)，并显式设置 substituteEntities = false 和 LIBXML_NONET。
PHP 8.4 中 DOM API 处理 XML 时默认已免疫 XXE，关键不是“用新特性”，而是正确使用已有机制并规避历史风险点。
DOMDocument 默认禁用外部实体
PHP 8.4 基于 libxml ≥2.9.12，默认关闭外部实体加载。只要不显式启用危险选项，DOMDocument::loadXML()、loadHTML() 等方法不会解析 SYSTEM 或 PUBLIC 实体。
- 无需调用
libxml_disable_entity_loader(false)（该函数在 PHP 8.4 已废弃，调用会触发 E_DEPRECATED 警告且无效） - 避免组合使用
LIBXML_DTDLOAD | LIBXML_NOENT—— 这个组合会重新打开外部实体解析，是常见误操作 - 可通过
phpinfo()或LIBXML_VERSION确认底层 libxml 版本是否达标
显式加固 DOM 解析调用
即使默认安全，也应在每次解析用户输入 XML 时主动设防：
- 设置
$dom->substituteEntities = false;（禁用实体替换） - 调用
loadXML()时只传入安全标志，如LIBXML_NONET（禁止网络请求） - 不传
LIBXML_DTDLOAD、LIBXML_NOENT、LIBXML_VALIDATE等可能引入风险的标志
示例写法：
立即学习“PHP免费学习笔记（深入）”；
<?php$dom = new DOMDocument();
$dom->substituteEntities = false;
if (!$dom->loadXML($user_input, LIBXML_NONET)) {
throw new Exception('Invalid or unsafe XML');
}
?>
结构校验 + 格式替代更可靠
仅靠 DOM 配置不能覆盖所有绕过场景，建议分层防御：
- 上传或接收 XML 前，先扫描内容：检测
<!DOCTYPE、SYSTEM、PUBLIC、file://、http://等关键词 - 必须用 XML 时，配合 XSD Schema 白名单验证结构，再交给 DOM 解析
- 优先改用 JSON：API 场景下用
json_decode($input, true)替代 XML 解析，完全规避 XXE
不推荐的“兼容性”做法
以下方式看似稳妥，实则引入风险或已失效：
- 保留
libxml_disable_entity_loader(true)调用 —— PHP 8.0+ 已无作用，属冗余代码 - 用正则过滤 XML 内容（如删掉 DOCTYPE）—— 易被编码、注释、嵌套绕过，不可靠
- 依赖前端或中间件过滤 XML —— 攻击者可直连后端接口绕过
