php 7.4 中 libxml_disable_entity_loader(true) 仅对下一次 xml 解析生效，必须在每次 simplexml_load_string() 或 domdocument::loadxml() 等解析前紧邻调用，且 dom 和 simplexml 需分别设；过滤字符串或隐藏错误无法阻止 xxe，php 8.0+ 虽默认禁用但不修复旧版漏洞。
PHP 7.4 必须每次解析前调用 libxml_disable_entity_loader(TRUE)
PHP 7.4 默认仍启用外部实体解析，libxml_disable_entity_loader(TRUE) 不是全局开关，它只对**紧接着的下一次 XML 解析生效**。漏掉一次调用，就等于给攻击者留了一扇门。
- 不能只在
index.php开头设一次——它不跨请求、不继承、不持久 - 不能写在类构造函数里就以为万事大吉——对象实例化后，真正解析时才需要它生效
- 必须紧挨着解析函数之前调用，比如：
libxml_disable_entity_loader(TRUE); $xml = simplexml_load_string($input); - 该函数返回上一状态（
TRUE或FALSE），别忽略返回值；生产环境应始终设为TRUE，避免被后续代码意外恢复
DOMDocument 和 SimpleXML 都要单独覆盖
两者底层都用 libxml，但各自调用路径独立，关一个不等于另一个安全。常见错误是只防护了 simplexml_load_string，却忘了 $dom->loadXML() 或 $dom->load()。
-
DOMDocument::loadXML()：若输入含/code>，且没提前关 loader，立刻触发 XXE -
simplexml_load_string()：语法简洁易上手，也更容易漏掉防护——$xml = simplexml_load_string($_POST['data'])这种写法毫无防御力 - 如果同时用两种方式解析同一份数据，必须在每次调用前都执行
libxml_disable_entity_loader(TRUE) -
XMLReader虽流式解析，但默认仍允许 DTD；需额外加$reader->setParserProperty(XMLReader::SUBST_ENTITIES, FALSE)
别用字符串过滤代替解析层禁用
正则匹配 SYSTEM、ENTITY 或删掉 /code> 是典型“补丁式防御”，既不可靠又伤业务。
- 攻击者可用大小写混写（
sYsTeM）、空格/制表符插入（S Y S T E M）、注释包裹（<!-- -->SYSTEM）绕过 - 真实业务 XML 可能合法包含
SYSTEM字样（如日志字段、工业协议文档），过滤会误杀 -
libxml_use_internal_errors(TRUE)只隐藏警告，**完全不阻止实体加载**，纯属自我安慰 - 真正该做的是让解析器拒绝加载——不是在文本层和攻击者玩猫鼠游戏
PHP 8.0+ 已默认禁用，但 PHP 7.4 不会自动降级行为
别指望升级 PHP 就能“悄悄修复”老项目里的 XXE 漏洞。PHP 8.0+ 确实默认禁用外部实体，但这是新版本行为，旧代码跑在 7.4 上时，libxml_disable_entity_loader 的调用逻辑一点都不能少。
- 检查当前环境实际 libxml 版本：
php -i | grep libxml；≥2.9.1 才默认禁用，但 PHP 7.4 多数仍配旧版 -
libxml_disable_entity_loader()在 PHP 8.0+ 已被标记为 deprecated，但 7.4 项目里它仍是唯一有效手段 - 如果真需要有限支持外部实体（极少见），应改用
libxml_set_external_entity_loader()自定义白名单逻辑，而非放行后过滤
真正容易被忽略的，是那个「只设了一次、以为永久生效」的 libxml_disable_entity_loader(TRUE) 调用——它就在你某次重构时被挪到了配置文件里，然后所有 XML 解析都悄悄失效了。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
