推荐使用file_get_contents('php://input')获取原始XML流，配合libxml_use_internal_errors(true)屏蔽警告，再用simplexml_load_string($rawXml, 'SimpleXMLElement', LIBXML_NOCDATA | LIBXML_NOBLANKS)解析；若编码或控制字符异常，则改用DOMDocument预处理清洗后加载。
如果您在PHP中需要处理来自外部系统或API的XML数据，而该XML内容不含注释、格式紧凑且无空格缩进，则默认的解析方式可能无法正确识别节点结构或会因空白字符干扰导致解析失败。以下是接收并解析此类XML无注释数据的具体操作方法：
一、使用file_get_contents配合simplexml_load_string
该方法适用于HTTP请求体中直接传入的原始XML字符串，不依赖文件路径，能跳过XML声明与注释缺失带来的兼容性问题。PHP的SimpleXML扩展可将XML字符串转换为对象，便于属性和子节点访问。
1、通过$_POST['xml']或file_get_contents('php://input')获取原始XML流（推荐后者，避免编码截断）。
2、调用libxml_use_internal_errors(true)屏蔽因缺少XML声明或编码声明引发的警告。
立即学习“PHP免费学习笔记（深入）”；
3、执行$simpleXml = simplexml_load_string($rawXml, 'SimpleXMLElement', LIBXML_NOCDATA | LIBXML_NOBLANKS)。
4、检查返回值是否为false，若为false则使用libxml_get_errors()捕获具体错误信息。
二、使用DOMDocument加载并预处理XML字符串
当XML数据存在编码不一致（如UTF-8含BOM、GB2312等）或包含非法字符时，DOMDocument比SimpleXML更可控。通过显式设置文档编码并移除不可见控制字符，可提升解析稳定性。
1、对原始XML字符串执行$cleanXml = preg_replace('/[\x00-\x08\x0B\x0C\x0E-\x1F\x7F]/', '', $rawXml)以清除控制字符。
2、使用mb_detect_encoding($cleanXml, ['UTF-8', 'GBK', 'ISO-8859-1'], true)判断真实编码，并用mb_convert_encoding转换为UTF-8。
3、实例化$dom = new DOMDocument(); $dom->resolveExternals = false; $dom->substituteEntities = false;
4、调用$dom->loadXML($cleanXml, LIBXML_NOBLANKS | LIBXML_NONET | LIBXML_NOENT)完成加载。
三、通过cURL接收并校验HTTP传输中的XML数据
当XML由远程服务以POST或PUT方式推送至PHP端点时，需确保HTTP头信息完整且Content-Type明确标识为application/xml或text/xml，否则PHP可能无法正确识别输入流。
1、在入口脚本开头添加header('Content-Type: text/plain; charset=utf-8');防止浏览器误渲染XML为HTML。
2、检查$_SERVER['CONTENT_TYPE']是否包含xml，若不匹配则拒绝请求并返回415 Unsupported Media Type状态码。
3、使用$raw = file_get_contents('php://input')读取原始字节流，禁止使用$_POST，因其会尝试URL解码并破坏XML结构。
4、验证XML首行是否匹配正则/^/i，若不匹配则视为无效XML格式。
四、禁用外部实体解析以防范XXE攻击
无注释XML仍可能嵌入外部实体引用，若未禁用，攻击者可通过恶意构造的DOCTYPE触发服务器端请求或文件读取。必须在所有XML解析前强制关闭实体加载功能。
1、全局调用libxml_disable_entity_loader(true)以阻止所有XML解析器加载外部DTD或实体。
2、在SimpleXML或DOMDocument初始化前，确认libxml_get_external_entity_loader()返回null。
3、若使用DOMDocument，额外设置$dom->validateOnParse = false; $dom->recover = true;避免因缺失DTD报错中断流程。
4、解析后遍历所有DOMElement节点，检查nodeName是否为'!ENTITY'或'!ATTLIST'，发现即终止处理并记录潜在XXE注入尝试。
