需正确解析含重复节点的XML为PHP数组，方法包括：一、SimpleXML转JSON再解码并手动处理重复项；二、DOMDocument+XPath精准提取；三、自定义递归函数深度转换；四、CURL接收后验签再净化解析；五、禁用外部实体防XXE攻击。
如果您在PHP中需要处理客户端发送的XML格式数据，而该XML包含类似数组结构的重复节点，则需正确解析并转换为PHP可操作的数组。以下是实现此目标的具体步骤：
一、使用simplexml_load_string解析XML并手动转换为数组
SimpleXML扩展能将XML字符串转为对象，但其不直接支持嵌套重复节点的数组化映射；需遍历节点并显式构建关联数组结构。
1、获取原始XML输入，例如通过file_get_contents('php://input')读取POST提交的XML正文。
2、调用simplexml_load_string($xmlString)加载XML，检查返回值是否为false以确认解析成功。
立即学习“PHP免费学习笔记（深入）”；
3、将SimpleXMLElement对象强制转换为JSON字符串，再用json_decode(..., true)转为PHP关联数组。
4、对结果数组中键名相同的重复子节点，使用foreach遍历同名子节点并压入新索引数组。
5、对含属性的节点，访问->attributes()方法提取，并合并进对应元素的子数组中。
二、使用DOMDocument配合XPath提取重复节点
DOMDocument提供更底层的XML操作能力，结合XPath可精准定位所有同名节点，适用于复杂层级或需条件筛选的XML数组结构。
1、实例化DOMDocument对象，调用loadXML()载入XML字符串。
2、创建DOMXPath对象，传入DOMDocument实例。
3、使用XPath表达式如//item匹配全部名为item的节点，返回DOMNodeList对象。
4、遍历DOMNodeList，对每个节点调用getElementsByTagName()或getAttribute()提取子元素与属性。
5、将每次遍历结果作为独立子数组追加至主数组，确保索引从0开始连续递增。
三、自定义递归函数将SimpleXML对象深度转为数组
针对含多层嵌套及重复节点的XML，内置转换易丢失结构；编写递归函数可保留层级关系并自动识别重复项。
1、定义函数xmlToArray($xmlElement)，参数为SimpleXMLElement对象或其子节点。
2、初始化空数组$result，遍历当前节点的所有子节点，使用get_object_vars()获取子节点列表。
3、对每个子节点名，统计同名子节点数量：若大于1，则将该名下所有子节点依次转为数组并存入索引数组；若等于1，则直接递归调用自身处理单个节点。
4、检查当前节点是否有属性，若有，则在结果数组中添加'@attributes'键，其值为属性名值对的关联数组。
5、检查当前节点是否有纯文本内容（无子节点），若有且不为空，则添加'#text'键存储该内容。
四、使用CURL接收并验证XML签名后再解析
当XML来自外部可信系统且带有数字签名时，需先校验签名有效性，再进行数组化处理，防止恶意构造的XML注入非法结构。
1、通过CURL接收远程HTTP响应体，设置CURLOPT_RETURNTRANSFER为true确保返回字符串而非直接输出。
2、使用openssl_verify()配合公钥验证XML中的
3、验证通过后，剥离签名相关节点（如Signature、KeyInfo），仅保留原始业务数据部分。
4、对净化后的XML字符串执行simplexml_load_string()，避免签名标签干扰节点命名逻辑。
5、将净化后对象交由前述任一数组转换方法处理，确保最终数组不含冗余签名字段。
五、启用libxml_disable_entity_loader防护XXE攻击后解析
XML外部实体（XXE）攻击可能导致文件读取或SSRF；在解析前禁用外部实体加载是安全接收XML的前提。
1、在解析前调用libxml_disable_entity_loader(true)，全局禁用外部实体解析。
2、设置libxml_use_internal_errors(true)捕获解析错误，避免因恶意DOCTYPE声明导致崩溃。
3、使用simplexml_load_string()或DOMDocument::loadXML()加载XML，同时传入LIBXML_NOENT | LIBXML_DTDLOAD标志以忽略缺失实体声明。
4、解析完成后立即调用libxml_clear_errors()清理错误缓冲区。
5、若解析失败，检查libxml_get_errors()返回的错误列表，特别关注“Entity 'xxx' not found”类警告，确认未意外启用外部实体。
