PHP如何禁用外部实体加载来防御XXE libxml_disable_entity_loader函数

libxml_disable_entity_loader在PHP 7.4+已移除且完全失效；正确方式是针对SimpleXML、DOMDocument分别显式配置禁用外部实体，或PHP 8.0+统一使用libxml_set_external_entity_loader(null)。

libxml_disable_entity_loader 在 PHP 7.4+ 已被移除

直接调用 libxml_disable_entity_loader(true) 在 PHP 7.4 及更新版本会触发 Deprecated: libxml_disable_entity_loader(): This function is deprecated 警告，且**完全失效**。它只在 PHP 5.6–7.3 有效，但即便在这些版本中，也仅影响部分 libxml API（如 simplexml_load_string），对 DOMDocument::loadXML() 等默认行为无效——因为后者不自动继承该全局开关。

正确禁用外部实体的三种可靠方式

必须针对具体 XML 解析器显式配置，不能依赖全局函数：

MagicArena

字节跳动推出的视觉大模型对战平台

下载

• SimpleXML 场景：使用 LIBXML_NOENT | LIBXML_DTDLOAD 以外的选项，并确保不传入 LIBXML_NOENT（它会加载外部实体）；更安全的是显式禁用 DTD：

  $xml = simplexml_load_string($raw, 'SimpleXMLElement', LIBXML_NONET | LIBXML_NOCDATA);

• DOMDocument 场景：必须在实例化后、调用 loadXML() 或 load() 前设置属性：

  $dom = new DOMDocument();
  $dom->resolveExternals = false;
  $dom->substituteEntities = false;
  $dom->setEntityLoader(function () { return false; }); // PHP 8.0+
  $dom->loadXML($raw);

• PHP 8.0+ 统一方案：使用 libxml_set_external_entity_loader(null) 替代已废弃函数，它作用于当前请求上下文，对所有后续 libxml 调用生效（包括 SimpleXML 和 DOM）：

  libxml_set_external_entity_loader(null);
  $xml = simplexml_load_string($raw); // 安全
  $dom = new DOMDocument();
  $dom->loadXML($raw); // 安全

为什么只设 LIBXML_NONET 不够

LIBXML_NONET 阻止网络请求，但无法阻止本地 DTD 文件或内联实体定义（如 &xxe; 指向 file:///etc/passwd）。真实 XXE 利用常通过如下方式绕过：

 ]>
&xxe;]]>

遗留系统兼容 PHP 7.2–7.3 的折中写法

若无法升级 PHP 版本，需同时处理全局开关和实例配置，避免遗漏：

if (function_exists('libxml_disable_entity_loader')) {
    libxml_disable_entity_loader(true);
}
$dom = new DOMDocument();
$dom->resolveExternals = false;
$dom->substituteEntities = false;
$dom->loadXML($raw);