最可靠方法是用 simplexml_load_string() 尝试解析并捕获错误：先 trim() 预处理，再调用 libxml_use_internal_errors(true) 抑制警告，解析后检查返回值是否为 false，同时需禁用外部实体防止 XXE。
用 simplexml_load_string() 检测是否为合法 XML 字符串
PHP 没有原生的 is_xml_string() 函数，最可靠的方式是尝试解析——成功则大概率是 XML，失败则不是。核心是捕获解析异常，而不是依赖字符串开头是否为 或 ，因为很多 XML 可能无声明、含空格或 BOM。
关键点：
-
simplexml_load_string()返回SimpleXMLElement对象（成功）或false（失败），但会触发警告（E_WARNING），必须配合@抑制或设置错误处理器 - 仅检查返回值是否为
false不够严谨：空字符串、纯空白、含非法字符（如未转义&）都会失败 - 建议加一层
trim()预处理，避免首尾空白干扰
$xmlStr = trim($input); if ($xmlStr === '') return false; libxml_use_internal_errors(true); // 关键：关闭默认警告输出 $result = simplexml_load_string($xmlStr); libxml_clear_errors(); return $result !== false;
为什么不用 strpos($str, ' 或正则匹配
这类“看起来像 XML”的启发式判断极不可靠，实际项目中容易漏判或误判。
常见翻车场景：
立即学习“PHP免费学习笔记（深入）”；
- XML 前有 UTF-8 BOM（
\xEF\xBB\xBF），strpos找不到开头的 - 文档类型声明含空格：
]>，正则易写错边界 - 合法 XML 可以只有注释或 CDATA：
或]]>，不满足“以标签开头” - HTML 片段（如
需要兼容无效命名空间或外部实体？用 libxml_disable_entity_loader()
如果输入来源不可信（如用户提交），直接调用 simplexml_load_string() 有 XXE 攻击风险。必须在解析前禁用外部实体加载。
注意顺序和作用域：
- 必须在
simplexml_load_string()调用前设置，且对当前请求全局生效 - PHP 8.0+ 已默认禁用，但低版本（如 7.4）仍需手动处理
- 设完后记得恢复（如需后续解析可信 XML），或仅在检测函数内临时设置
if (version_compare(PHP_VERSION, '8.0.0', '<')) {
$old = libxml_disable_entity_loader(true);
$result = simplexml_load_string($xmlStr);
libxml_disable_entity_loader($old);
} else {
$result = simplexml_load_string($xmlStr);
}性能敏感场景下，可先做轻量预筛
若批量检测大量字符串（如日志清洗），完全依赖 simplexml_load_string() 开销较大。可加一层快速过滤，跳过明显非法的：
