PHP DOMDocument 如何避免外部实体加载：LIBXML_NONET、解析错误与安全边界

线上导入 XML 时，最危险的误区是把“能解析”当成“解析安全”。PHP 的 DOMDocument::loadXML() 会按传入选项处理文档；如果代码允许实体替换或验证 DTD，就必须同时限制网络访问并保留错误信息。更稳妥的做法是先用 LIBXML_NONET 阻断网络，再按 PHP 与 libxml 版本选择 LIBXML_NO_XXE，最后检查返回值和解析错误。

默认不启用实体替换；解析不可信 XML 时至少使用 LIBXML_NONET，在支持的环境再叠加 LIBXML_NO_XXE，不要把已弃用的 libxml_disable_entity_loader() 当成新代码的唯一防线。

先把 DOMDocument 的危险开关分开看

DOMDocument 本身不是问题，问题在于加载 XML 时把多个能力一起打开。LIBXML_NOENT 会替换实体，LIBXML_DTDLOAD 会加载 DTD，LIBXML_DTDVALID 会参与 DTD 验证；这些选项一旦和不受信任输入组合，风险面就扩大了。PHP 手册明确提醒，启用实体替换或 DTD 验证可能导致 XXE 风险。

最小化加载选项时，先保留默认的实体不替换行为，再加上网络隔离。这里的控制流很短：libxml_use_internal_errors(true) 开启错误收集，DOMDocument::loadXML() 负责解析，返回 false 时读取 libxml_get_errors()，成功才继续读取 DOM。

loadXML($xml, $flags);
if ($loaded === false) {
    $errors = libxml_get_errors();
    libxml_clear_errors();
    throw new InvalidArgumentException('XML parse failed');
}

libxml_clear_errors();
$root = $dom->documentElement;
?>

这段代码的验收点有三个：没有定义 LIBXML_NO_XXE 时仍然带着 LIBXML_NONET 运行；解析失败会先取出 libxml_get_errors() 再清理；成功路径才访问 documentElement。不要为了让坏 XML“尽量读出来”而打开 LIBXML_NOENT。

PHP 版本迁移时怎样选择防护组合

LIBXML_NO_XXE 的可用性不是 PHP 小版本字符串可以单独决定的。PHP 手册说明，它从 PHP 8.4.0 起可用，但前提是底层 libxml 至少是 2.13.0。部署环境可能通过系统包提供不同 libxml，因此运行时的 defined('LIBXML_NO_XXE') 检查比硬编码版本判断更可靠。

如果业务确实需要自定义实体解析，应优先考虑 libxml_set_external_entity_loader()，把不允许的外部实体解析为 null，并把这个策略限制在明确的解析边界内。旧函数 libxml_disable_entity_loader() 在 PHP 8.0 已弃用，不能作为新代码的迁移目标。

loadXML($xml, $flags);
if ($ok !== true) {
    throw new InvalidArgumentException('XML rejected');
}
?>

这不是“版本越新就自动安全”。迁移检查应覆盖 PHP 运行时、libxml 版本、是否定义 LIBXML_NO_XXE、是否存在自定义实体加载器，以及测试 XML 是否包含 DTD。生产配置里若必须处理带内部实体的文档，也要把允许的输入格式写进接口契约，不要通过放宽解析选项来掩盖格式不清。

常见问题

只使用 LIBXML_NONET 是否足够？

它能禁止加载文档时的网络访问，但不能替代对实体替换、DTD 验证和输入格式的审查。支持时叠加 LIBXML_NO_XXE，并保持不启用 LIBXML_NOENT。

为什么不继续调用 libxml_disable_entity_loader？

该函数在 PHP 8.0 已弃用，而且是全局行为。新代码应使用加载选项和边界明确的实体加载器策略。

解析失败时只判断 loadXML 返回值可以吗？

可以判断是否失败，但排查质量不够。开启内部错误后读取 libxml_get_errors()，记录必要上下文，再调用 libxml_clear_errors()，更容易区分格式错误与安全策略拒绝。

把安全边界留在解析入口

DOM 解析器的安全性取决于入口选项、运行时能力和输入契约的组合。把 LIBXML_NONET 作为基础隔离，按定义情况加入 LIBXML_NO_XXE，用错误收集闭合失败路径，再用测试覆盖 DTD、实体和异常 XML，代码才能在 PHP 版本迁移后保持可解释。