PHP DOMDocument 解析外部实体时怎么关闭不必要的加载

如果 XML 来自请求体、上传文件或第三方接口，DOMDocument 的安全重点不是“把一个开关设成 false”，而是不要无意中开启外部实体解析。常规业务只需要节点和文本时，使用默认不替换实体的解析方式，再加上 LIBXML_NONET；不要同时传入 LIBXML_NOENT、LIBXML_DTDLOAD 或 LIBXML_DTDATTR。这样既避免不必要的外部资源读取，也让配置意图更容易在升级后复查。

先分清三个容易混在一起的 XML 选项

LIBXML_NOENT 的含义是“替换实体”，不是“禁止实体”。一旦业务把它打开，解析器可能尝试解析 DTD 中声明的实体。LIBXML_DTDLOAD 会加载外部子集，LIBXML_DTDATTR 会读取 DTD 中的默认属性；PHP 手册对这两个选项都给出了会获取外部实体的警告。

LIBXML_NONET 解决的是网络出口这一层：它会阻止加载文档时的网络访问，但不能替代“不要打开实体替换”和“不要加载外部 DTD”。所以安全配置要看整组 flags，而不是只搜索代码里有没有 LIBXML_NONET。

常规 XML 输入使用最小安全配置

对于只读取节点、属性和文本的接口，先从最小 flags 开始。代码不依赖某个固定 libxml 小版本，而是在运行时探测 LIBXML_NO_XXE 是否存在：

loadXML($xml, $flags)) {
            throw new InvalidArgumentException('XML 格式无效');
        }
        return $dom;
    } finally {
        // 读取本次解析产生的错误，避免污染后续请求。
        libxml_clear_errors();
    }
}
?>

这里故意没有加入 LIBXML_NOENT、LIBXML_DTDLOAD 和 LIBXML_DTDATTR。LIBXML_NOBLANKS 只影响空白节点，不是安全开关；是否保留空白应按业务需要决定。解析成功也不代表 XML 业务内容可信，后续仍要校验节点、属性和数据长度。

业务必须依赖 DTD 时，改成明确的资源白名单

少数旧协议需要内部 DTD 或固定的外部定义。此时不要为了让文件“能解析”而全局调用 libxml_disable_entity_loader(true)，也不要把任意 system ID 交给默认加载器。PHP 手册建议优先使用 libxml_set_external_entity_loader() 抑制或接管外部实体加载。

loadXML($xml, $flags)) {
            throw new InvalidArgumentException('带 DTD 的 XML 无法解析');
        }
        return $dom;
    } finally {
        // 恢复调用方原来的 loader，避免影响同一进程中的其他解析任务。
        libxml_set_external_entity_loader($oldLoader);
        libxml_clear_errors();
    }
}
?>

这段代码只适用于你能控制 DTD 来源的场景。若协议并不需要实体替换，删除 LIBXML_NOENT，继续使用前一节的最小配置。外部实体白名单、XML 大小限制和请求超时应与业务协议一起测试，不能把 LIBXML_NONET 当作所有资源风险的兜底。

上线前检查 PHP 与 libxml 的实际能力

迁移旧项目时重点搜这几类调用：LIBXML_NOENT、LIBXML_DTDLOAD、LIBXML_DTDATTR、resolveExternals、substituteEntities 以及 libxml_disable_entity_loader。PHP 8.0 起后者已弃用；PHP 手册还说明，libxml 2.9.0 起实体替换默认关闭，而 LIBXML_NO_XXE 在 PHP 8.4.0、libxml 2.13.0 起可用。

测试时至少覆盖四种输入：没有 DTD 的正常 XML、只含内部实体的兼容样例、引用外部 DTD 的拒绝样例，以及格式错误的输入。断言不仅要看 loadXML() 返回值，还要确认解析过程没有访问网络或业务不允许的本地资源，并为超大 XML 设置请求体与解析资源上限。

常见问题

只加 LIBXML_NONET 就够了吗？

不够。它主要限制网络访问；如果代码仍打开实体替换或外部 DTD，仍然需要重新审查实体解析路径。

PHP 8 还要调用 libxml_disable_entity_loader 吗？

常规代码不建议继续依赖它。优先关闭不必要的实体相关 flags；确实要解析固定 DTD 时，使用受控 loader 和独立测试覆盖。

参考：PHP libxml 预定义常量、libxml_disable_entity_loader 手册、libxml_set_external_entity_loader 手册。