WordPress插件中接收解析XML文件需注册MIME类型、走admin-post.php安全路由、用wp_handle_upload处理、禁用XXE并校验权限与nonce。
WordPress插件里怎么接收并解析用户上传的XML文件
直接用 $_FILES 读取不行——WordPress 的表单提交必须走其 AJAX 机制或自定义管理页，且需校验 nonce、用户权限和文件类型。XML 文件默认不在 WordPress 允许上传的 MIME 类型白名单里，不加配置会直接被拒绝。
- 在插件主文件或初始化函数中调用
add_filter('upload_mimes', 'my_add_xml_mime_type') - 定义回调函数，向 MIME 数组添加
'xml' => 'application/xml'或更宽松的'xml' => 'text/xml' - 确保上传入口是带
admin-post.php或wp_ajax_*的安全路由，不能裸露$_POST+$_FILES - 使用
wp_handle_upload()处理文件，它会自动校验扩展名、MIME、大小，并返回含file（服务器路径）和url的数组
解析上传的XML时遇到“DOMDocument::load(): Start tag expected”错误
这通常不是编码问题，而是文件内容损坏或前端上传时被浏览器/JS意外修改（比如把 XML 当文本插入表单字段再用 AJAX 发送）。XML 必须以原始二进制方式上传，不能转成字符串再 POST。
- 前端用
FormData构造上传体：const formData = new FormData(); formData.append('xml_file', document.getElementById('xml_input').files[0]); - 后端用
simplexml_load_file($uploaded_file_path)或DOMDocument::load()加载本地文件路径，不要用simplexml_load_string()去解析未经过滤的原始 POST 数据 - 加一层
libxml_use_internal_errors(true)捕获解析警告，避免致命错误中断流程 - 检查上传后文件是否完整：用
file_get_contents($uploaded_file_path)打印前 200 字符，确认开头是或根标签，而非 HTML 错误页内容
如何限制XML上传大小并防止XXE攻击
WordPress 默认允许上传最大 2MB（取决于 php.ini），但 XML 特别容易受外部实体注入（XXE）影响，simplexml_load_file 和 DOMDocument::load 默认启用外部加载，不关掉会读取远程 DTD 或本地敏感文件。
- 上传前用
ini_set('upload_max_filesize', '5M')不生效——得改php.ini或用.htaccess（Apache）或 Nginx 配置；插件内只能做应用层校验：if ($_FILES['xml_file']['size'] > 5 * 1024 * 1024) { wp_die('文件超过 5MB'); } - 解析前必须禁用外部实体：
$dom = new DOMDocument(); $dom->loadXML(file_get_contents($path), LIBXML_NOENT | LIBXML_DTDLOAD | LIBXML_NONET);
- 或者用
simplexml_load_string(file_get_contents($path), 'SimpleXMLElement', LIBXML_NOENT | LIBXML_NONET) - 别信任用户传来的
DOCTYPE声明，解析前可用正则剔除整行*?>（仅当业务不需要 DTD 时）
在插件设置页嵌入XML上传表单的最小可行结构
不要自己写整个 admin 页面框架，复用 WordPress 现有机制最稳。关键点是 action 必须指向 admin-post.php，且包含 action 参数与对应 hook。
- 前端表单示例：
- 后端绑定处理：
add_action('admin_post_my_plugin_upload_xml', 'my_handle_xml_upload'); function my_handle_xml_upload() { if (!wp_verify_nonce($_POST['nonce'], 'my_plugin_xml_upload') || !current_user_can('manage_options')) { wp_die('无权操作'); } // ……调用 wp_handle_upload → 解析 → 导入逻辑 } - 注意：这个 hook 名必须和表单里的
action值一致，且只对已登录管理员触发；普通用户需换用admin_post_nopriv_*并自行加权限判断
实际部署时最容易忽略的是 MIME 白名单注册时机——必须在 plugins_loaded 或更早钩子中添加，晚于这个时间点（比如在 admin_init 里）会导致上传时校验失败，报“不支持该文件类型”。
