PHP 中不可能的 XXE

PT SWARM 展示如何实现“几乎不可能”的 PHP XXE：面对实体加载默认关闭、缺失 LIBXML_NOENT、LIBXML_NONET 限制与 DOM nodeType 类型检查四重障碍，研究者利用参数实体与 libxml2 特性逐一绕过并完成利用，PoC 已发布在 GitHub。