PHP处理UTF-8 XML数据需确保编码不被破坏：一、用file_get_contents读取原始流并直接解析；二、DOMDocument加载前显式声明UTF-8；三、cURL禁用自动解码并设正确Header；四、验证php://input的UTF-8合法性；五、SimpleXML禁用外部实体并避免二次转义。
如果您在PHP中需要处理来自外部系统或API的XML格式数据，且该数据编码为UTF-8，则必须确保PHP正确读取、解析并保留原始UTF-8字符不被破坏。以下是接收并解析XML UTF-8数据的具体方式：
一、使用file_get_contents读取原始XML流
该方法适用于直接从HTTP请求体、文件或远程URL获取原始XML字符串，保持UTF-8编码完整性，避免自动转码干扰。
1、设置请求头为application/xml或text/xml（如通过cURL发送时）；
2、使用fi
le_get_contents('php://input')读取原始POST请求体内容；
3、对读取结果不做任何trim()、iconv()或utf8_encode()转换；
4、将原始字符串传入simplexml_load_string()或DOMDocument::loadXML()进行解析。
二、使用DOMDocument加载并显式声明UTF-8编码
DOMDocument在加载XML时若未明确指定编码，可能误判为ISO-8859-1，导致中文乱码。显式设置encoding属性可强制按UTF-8解析。
1、实例化DOMDocument对象；
2、调用$dom->loadXML($xmlString, LIBXML_NOERROR | LIBXML_NOWARNING)；
3、在loadXML前，确保$xmlString开头包含声明；
4、若原始XML无声明，可在加载前手动拼接："".$xmlString。
三、通过cURL接收远程XML响应并禁用自动解码
当PHP作为客户端调用第三方XML接口时，需防止cURL或服务器环境对响应体进行隐式编码转换。
1、初始化cURL句柄并设置CURLOPT_RETURNTRANSFER为true；
2、设置CURLOPT_ENCODING为空字符串，禁用自动gzip/deflate解码干扰原始字节流；
3、设置CURLOPT_HTTPHEADER为['Accept: application/xml', 'Content-Type: application/xml; charset=utf-8']；
4、执行请求后，直接使用返回的原始字符串，不调用mb_convert_encoding()或utf8_decode()。
四、使用php://input配合header检测验证编码
对于POST提交的XML数据，需确认客户端实际发送的Content-Type是否包含charset=utf-8，避免依赖默认行为。
1、读取$_SERVER['CONTENT_TYPE']，检查是否含charset=utf-8；
2、若不含，但业务约定为UTF-8，仍以原始字节流处理；
3、使用mb_check_encoding($xmlData, 'UTF-8')验证字符串是否为合法UTF-8；
4、若验证失败，拒绝解析并返回400错误，不尝试修复编码。
五、SimpleXML配合libxml_disable_entity_loader安全加载
使用SimpleXML解析外部XML时，需禁用外部实体加载以防止XXE漏洞，同时确保UTF-8字符正常呈现。
1、调用libxml_disable_entity_loader(true)关闭实体解析；
2、设置libxml_use_internal_errors(true)屏蔽警告；
3、使用simplexml_load_string($xmlData, 'SimpleXMLElement', LIBXML_NOCDATA | LIBXML_COMPACT)；
4、解析后访问节点值时，直接输出或JSON编码前不调用htmlentities()，避免二次转义。
