-
答案：PHP中制表符转JSON需正确处理特殊字符。1、json_encode会自动将制表符转为\u0009；2、可预处理用str_replace将\t替换为\t；3、用preg_replace结合正则精确控制转义；4、通过JSON_UNESCAPED_UNICODE等选项调整输出格式，确保兼容性与可读性。
-
禁用危险函数必须写全，漏一个就可能被绕过PHP8.5并未新增高危函数，但攻击者仍在利用那些长期存在、却被忽略的“边缘函数”——比如symlink、link、chown、chgrp。只禁掉exec和system是远远不够的。disable_functions必须覆盖执行类、文件操作类、进程控制类三类：exec,passthru,shell_exec,system,proc_open,popen,eval,assert,symlink,link,chmod,chown,chgrp,cur
-
microtime(true)是基准测试起点，关键在排除干扰；应预热缓存、多次采样取中位数、避免路径解析与安全检查开销，全读通常比分块读更快。
-
PHPOpenSSL加密在Windows和Linux上默认完全一致，前提是密钥、IV、算法、模式、填充方式严格相同；不一致通常源于IV生成、字符编码、密钥处理等代码或环境差异，而非系统底层实现。
-
应使用random_bytes()生成密码学安全随机字节，再映射为大小写字母加数字的字符串；避免rand()或mt_rand()，因其不安全；12位密码熵值约71bit，兼顾安全性与可用性。
-
PHP文件包含漏洞主要因未过滤用户输入导致，分为本地文件包含（LFI）、远程文件包含（RFI）和目录遍历三类，攻击者可借此读取敏感文件或执行恶意代码；防范措施包括使用白名单、关闭allow_url_include、严格过滤输入、避免直接拼接路径等，核心原则是不信任用户输入。
-
答案：使用array_combine()需先将字符串用explode()或正则拆分为键值数组，再合并；复杂场景可用preg_match_all提取键值，或用parse_str、json_decode等函数处理特定格式。
-
Node.js通过HTTP请求调用PHP接口，需启动PHPWeb服务（如php-S），用fetch/axios访问其URL；注意路径、端口、请求方法（GET/POST）、PHP输入解析及错误处理。
-
本文讲解如何在PHP静态路由类中正确接收并执行传入的匿名函数，解决“匿名函数未被调用”这一常见误区，强调参数设计与显式执行的必要性。
-
PHP对象转数组有五种方法：一、强制类型转换（array），仅转公有属性；二、json_encode与json_decode组合，可访问所有可序列化属性；三、实现JsonSerializable接口，自定义序列化逻辑；四、ReflectionAPI递归遍历，支持私有/受保护属性及嵌套对象；五、定义toArray()实例方法，灵活处理业务逻辑。
-
basename()第二个参数可直接剥离指定扩展名，但仅精确匹配末尾字符串，不支持通配或多扩展名；安全去扩展名应使用pathinfo($path,PATHINFO_FILENAME)。
-
array_slice($arr,0,$n)可安全截取前N个元素；起始位置勿用1（会漏索引0），负起始如-2表示倒数第2个开始；array_slice($arr,-3)取末尾3个；它只读不改原数组，而array_splice会修改原数组。
-
PHPWebSocket并发连接数受限于同步阻塞模型、系统文件描述符限制（如ulimit-n）及运行模式（FPM/CLI），实际稳定值通常为100–500；突破需改用ReactPHP等异步事件循环方案。
-
本文介绍在不使用数据库的前提下，通过PHP变量传递机制，从页面内容中提取标题、描述等信息并动态注入HTML头部的元标签，实现SEO友好的静态化站点开发。
-
PDO本身不直接支持分库分表，需结合业务逻辑或中间件实现：手动路由（按分片键计算库表名、白名单校验拼接）、封装ShardingPDO类解耦路由与执行、对接MyCat等代理中间件透明分片，同时注意跨库事务限制、游标分页及聚合查询优化。
