在php中，`simplexmlelement`默认禁用外部xml实体加载以防止xxe漏洞。本文将详细介绍如何通过注册自定义实体加载器并结合`libxml_noent`选项，安全地启用和控制外部实体的解析，确保功能实现的同时维护系统安全。
理解外部XML实体与安全风险
在XML解析中，外部实体（External Entities）允许XML文档引用外部文件或URL的内容。例如， 定义了一个名为 e 的实体，其内容来自指定的文件路径。然而，这种便利性也带来了严重的安全隐患，即XML外部实体注入（XXE）漏洞。攻击者可以利用XXE漏洞读取敏感文件（如/etc/passwd）、执行拒绝服务攻击，甚至进行远程代码执行。
出于安全考虑，PHP的libxml库（SimpleXMLElement底层依赖）默认是禁用外部实体加载的。这意味着，即使在XML文档中定义了外部实体，如问题中所示的代码：
]>&e; XML; $xml = new SimpleXMLElement($str); echo $xml; ?>
这段代码并不会按预期输出/tmp/exp文件的内容，而是可能只输出
安全启用外部实体加载
要安全地启用外部XML实体加载并使其生效，需要采取以下两个关键步骤：
立即学习“PHP免费学习笔记（深入）”；
1. 注册自定义外部实体加载器
通过libxml_set_external_entity_loader()函数，可以注册一个自定义的回调函数，用于处理所有对外部实体的请求。这个回调函数充当了一个“守门员”的角色，它接收外部实体的公共标识符（$public）、系统标识符（$system，通常是文件路径或URL）和上下文信息（$context），并决定是否允许加载该实体，以及如何加载。
自定义加载器的核心思想是严格控制。你不应该无条件地允许加载任何路径，而应该只允许加载你明确信任和预期的路径。例如，你可能只允许加载特定目录下的文件，或者将请求的路径映射到系统上的另一个安全位置。
以下是一个示例，展示了如何注册一个自定义加载器，并仅允许加载/tmp/exp文件：
libxml_set_external_entity_loader(function($public, $system, $context) {
// 仅当请求的系统标识符是 '/tmp/exp' 时才允许加载
if ($system === '/tmp/exp') {
// 返回一个文件资源句柄
return fopen('/tmp/exp', 'r');
}
// 对于其他所有外部实体请求，返回 null，表示不加载
else {
return null;
}
});在这个回调函数中：
- $public：实体的公共标识符，通常用于DTD。
- $system：实体的系统标识符，即外部资源的URI（例如文件路径或URL）。这是最关键的参数，你需要根据它来判断是否允许加载。
- $context：一个包含额外信息的数组，例如解析器的当前状态。
如果回调函数返回一个有效的文件资源句柄（如fopen()的结果），libxml将从该资源读取实体内容。如果返回null或其他非资源值，则表示不加载该实体。
2. 使用 LIBXML_NOENT 选项解析XML
仅仅注册了自定义加载器还不够。你还需要告诉SimpleXMLElement（或底层libxml解析器）去扩展这些外部实体。这通过在SimpleXMLElement构造函数中传递LIBXML_NOENT选项来实现。LIBXML_NOENT是一个libxml常量，指示解析器在解析过程中替换实体引用。
结合上述两个步骤，完整的解决方案如下：
]>&e; XML; // 1. 注册自定义外部实体加载器 libxml_set_external_entity_loader(function($public, $system, $context) { // 严格检查系统标识符，只允许加载 '/tmp/exp' if ($system === '/tmp/exp') { // 返回文件资源句柄 return fopen('/tmp/exp', 'r'); } // 拒绝加载其他所有外部实体 else { // 可以在这里记录日志或抛出异常，以便调试 error_log("Attempted to load untrusted external entity: " . $system); return null; } }); // 2. 使用 LIBXML_NOENT 选项创建 SimpleXMLElement 实例 // 这会告诉解析器去扩展实体，并通过我们注册的加载器处理外部实体 $xml = new SimpleXMLElement($str, LIBXML_NOENT); echo $xml->asXML(); // 使用 asXML() 来获取完整的XML字符串，包括实体内容 ?>
当执行这段代码时，SimpleXMLElement会通过LIBXML_NOENT选项触发实体扩展，然后libxml会调用我们注册的自定义加载器来处理/tmp/exp实体。如果/tmp/exp文件存在且可读，其内容将被成功加载并替换到&e;的位置。
注意事项
- 安全性至上： 始终将安全性放在首位。自定义实体加载器中的路径验证必须非常严格。绝不能允许用户控制$system参数的值，或者在没有充分验证的情况下直接使用用户提供的路径。
- 白名单机制： 推荐使用白名单机制来定义允许加载的外部实体路径或URL模式，而不是黑名单。
- 错误处理： 在自定义加载器中，对于不被允许的实体请求，除了返回null外，还可以考虑记录日志或抛出特定异常，以便于审计和调试。
- 性能考量： 频繁地加载大量外部实体可能会影响性能。如果可能，尽量减少对外部实体的依赖。
- 取消加载器： 如果在程序的某个部分启用了自定义加载器，而在其他部分不再需要，可以使用libxml_set_external_entity_loader(null)来取消注册，恢复默认行为。
总结
在PHP中使用SimpleXMLElement处理包含外部XML实体的文档时，由于默认的安全策略，直接引用外部实体将不会生效。为了安全且功能性地加载这些实体，核心方法是结合libxml_set_external_entity_loader()注册一个严格控制的自定义加载器，并向SimpleXMLElement构造函数传递LIBXML_NOENT选项。这一策略确保了在启用外部实体功能的同时，能够有效防范潜在的XXE安全漏洞，维护应用程序的健壮性与安全性。
