PHP接收外部XML需先用file_get_contents("php://input")读取原始数据，再用simplexml_load_string解析；含命名空间时改用DOMDocument+DOMXPath；全程须调用libxml_disable_entity_loader防XXE攻击。
如果您需要在PHP中接收来自外部系统发送的XML格式动态数据，则可能是由于客户端通过HTTP POST请求将XML内容作为原始数据体发送至PHP脚本。以下是实现此功能的具体步骤：
一、使用file_get_contents("php://input")读取原始XML数据
PHP无法直接通过$_POST获取原始XML内容，因为XML通常不以标准表单编码方式提交；必须从输入流中手动读取原始请求体。
1、在PHP脚本开头添加header声明，确保响应类型明确，避免编码歧义：
header('Content-Type: text/plain; charset=utf-8');
2、调用file_get_contents函数读取php://input流：
$xmlRaw = file_get_contents("php://input");
立即学习“PHP免费学习笔记（深入）”；
3、验证读取结果是否为空：
if (empty($xmlRaw)) { die('错误：未接收到任何XML数据'); }
二、使用simplexml_load_string解析XML字符串
该方法将XML字符串转换为SimpleXMLElement对象，便于后续属性与节点访问，适用于结构清晰、无命名空间冲突的XML。
1、执行解析操作：
$xmlObj = simplexml_load_string($xmlRaw, 'SimpleXMLElement', LIBXML_NOCDATA);
2、检查解析是否成功：
if ($xmlObj === false) { die('错误：XML格式非法，无法解析'); }
3、访问根节点下的子元素值，例如获取
$username = (string)$xmlObj->username;
三、使用DOMDocument加载并处理带命名空间的XML
当XML包含命名空间（如xmlns:xsi="http://www.w3.org/2001/XMLSchema-instance"）时，SimpleXML可能无法正确识别前缀，DOMDocument提供更严格的命名空间支持。
1、实例化DOMDocument对象：
$dom = new DOMDocument();
2、禁用加载时的外部实体解析以增强安全性：
$dom->loadXML($xmlRaw, LIBXML_NOENT | LIBXML_DTDATTR | LIBXML_NONET);
3、创建DOMXPath对象以便使用XPath查询命名空间节点：
$xpath = new DOMXPath($dom);
4、注册命名空间前缀（如ns）及其URI：
$xpath->registerNamespace('ns', 'http://example.com/ns');
5、执行XPath查询获取目标节点：
$nodes = $xpath->query('//ns:order/ns:amount');
if ($nodes->length > 0) { $amount = $nodes->item(0)->nodeValue; }
四、启用libxml_disable_entity_loader防止XXE攻击
在解析不受信XML前禁用外部实体加载，可有效阻止XML外部实体（XXE）注入漏洞，是接收动态XML数据时的安全必需操作。
1、在解析前调用禁用函数：
libxml_disable_entity_loader(true);
2、确保该设置在simplexml_load_string或DOMDocument::loadXML之前生效；若已启用则无需重复调用。
3、若需恢复实体加载能力（极少数场景），可设为false，但动态接收场景下严禁恢复。
五、使用cURL模拟接收端进行本地调试
在开发阶段，可通过构造cURL命令向PHP脚本发送测试XML，验证接收与解析逻辑是否正常工作。
1、准备测试XML文件test.xml，内容为标准UTF-8编码XML。
2、执行命令行发送请求：
curl -X POST http://localhost/receive.php -H "Content-Type: application/xml" --data-binary @test.xml
3、观察PHP脚本输出，确认是否成功打印出解析后的字段值；若返回空白或报错，检查HTTP头Content-Type是否匹配及XML编码是否为UTF-8无BOM。
