PHP XXE漏洞修补的核心原则是禁用外部实体加载并禁用DTD解析，需调用libxml_disable_entity_loader(true)、组合LIBXML_NOENT与LIBXML_NONET标志、升级libxml≥2.9.10，并在业务层拒绝含DOCTYPE的XML输入。
PHP XXE漏洞修补的核心原则是：**禁用外部实体加载，同时禁用DTD解析**。这不是靠过滤输入或替换关键词能解决的，而是必须从XML解析器的底层行为入手。
禁用外部实体加载（最直接有效）
所有使用 libxml 的 PHP XML 解析函数（simplexml_load_string、DOMDocument::loadXML、xml_parse 等）都受 libxml_disable_entity_loader() 控制。在解析前强制关闭即可：
-
libxml_disable_entity_loader(true);—— 全局禁用，推荐放在解析前执行 - 对
simplexml_load_string，额外加LIBXML_NOENT标志：simplexml_load_string($xml, 'SimpleXMLElement', LIBXML_NOENT | LIBXML_NONET); - 对
DOMDocument，设置属性：$dom = new DOMDocument();<br>$dom->loadXML($xml, LIBXML_NOENT | LIBXML_NONET);
禁用网络资源加载（堵住 SSRF 出口）
即使外部实体被禁用，若未限制网络协议，攻击者仍可能通过 php://filter、expect:// 或 http:// 等伪协议触发其他风险。务必组合使用 LIBXML_NONET：
- 该标志会阻止解析器访问任何网络资源（包括 HTTP、FTP、file:// 等）
- 与
LIBXML_NOENT一起使用，形成双重保险 - 注意：某些旧版代码手动开启
libxml_disable_entity_loader(false)是高危操作，必须删除
升级并确认 libxml 版本（根治基础风险）
libxml ≥ 2.9.0 默认禁用外部实体，但低版本（如 CentOS 7 默认的 2.9.1）仍可能存在绕过路径。建议：
立即学习“PHP免费学习笔记（深入）”；
- 运行
echo LIBXML_DOTTED_VERSION;查看当前版本 - PHP 8.0+ 已捆绑 libxml ≥ 2.9.10，默认安全；老版本应升级 libxml 或 PHP
- 避免手动调用
libxml_set_external_entity_loader()，除非你确实需要且已实现白名单校验逻辑
业务层补充防护（纵深防御）
不能只依赖解析器配置，还需在业务入口做收敛：
- 非必要不接受用户提交的 XML；优先改用 JSON
- 若必须接收，先校验 XML 结构（如检查是否含
DOCTYPE、SYSTEM、PUBLIC关键字），直接拒绝含 DTD 声明的输入 - 不要在错误响应中回显原始 XML 或解析异常详情（防止泄露解析器行为）
- 日志中记录可疑的 XML 请求特征（如大量
&xxe;、file://、http://127.0.0.1）
