PHP接收XML需先判别提交方式：文件上传用$_FILES读取临时文件，原始POST用php://input；解析时必须禁用外部实体（LIBXML_NOENT|LIBXML_NONET）防XXE，并校验根节点与字段有效性。
PHP 接收上传的 XML 文件，核心是正确获取原始请求体（而非表单字段），并确保服务器端能安全、可靠地解析内容。关键不在于“上传文件”本身，而是如何识别并处理以 XML 格式提交的数据。
判断 XML 是以文件形式上传，还是以 POST 原始数据提交
这是第一步，决定后续处理方式：
-
如果是通过 HTML 表单 +
上传：XML 会走 PHP 的$_FILES流程，文件暂存于临时目录，需用file_get_contents($_FILES['xml_file']['tmp_name'])读取内容，再解析。 -
如果是前端用
fetch或XMLHttpRequest发送原始 XML（Content-Type: application/xml 或 text/xml）：此时$_POST为空，必须用file_get_contents('php://input')获取原始请求体，再解析。
安全读取并加载 XML 内容
避免直接使用 simplexml_load_string() 或 DOMDocument::loadXML() 解析未经处理的原始数据，防止 XXE（XML 外部实体）攻击：
- 禁用外部实体和网络加载：
$xml = simplexml_load_string($raw, 'SimpleXMLElement', LIBXML_NOENT | LIBXML_DTDATTR | LIBXML_NONET); - 或用 DOM 方式更严格控制：
$dom = new DOMDocument();
$dom->loadXML($raw, LIBXML_NOENT | LIBXML_DTDATTR | LIBXML_NONET); - 建议先用
libxml_use_internal_errors(true)捕获解析错误，再检查libxml_get_errors()。
常见接收方式代码示例
根据提交方式选择对应逻辑：
立即学习“PHP免费学习笔记（深入）”；
-
接收 raw XML 请求体（推荐用于 API 场景）：
$raw = file_get_contents('php://input');
if (empty($raw)) { die('No XML data received'); }
$xml = simplexml_load_string($raw, 'SimpleXMLElement', LIBXML_NOENT | LIBXML_NONET);
if ($xml === false) { die('Invalid XML'); } -
接收文件上传的 XML：
if (isset($_FILES['xml_file']) && $_FILES['xml_file']['error'] === UPLOAD_ERR_OK) {
$content = file_get_contents($_FILES['xml_file']['tmp_name']);
$xml = simplexml_load_string($content, null, LIBXML_NOENT | LIBXML_NONET);
}
验证与后续处理建议
仅解析成功还不够，还需保障业务可靠性：
- 检查 XML 根节点是否符合预期（如
$xml->getName() === 'Order'）； - 对关键字段做类型/存在性校验（如
isset($xml->id)、is_numeric((string)$xml->amount)）； - 敏感操作前记录原始 XML（脱敏后）便于排查；
- 上传的 XML 文件建议重命名并移出临时目录，避免被意外访问。
