-
本文介绍如何利用PHP的__get魔术方法，在父类中统一处理未显式声明的子类属性，避免IDE警告和重复声明，实现类似“自动挂载子模块”的优雅设计。
-
PHP数据库安全核心是防SQL注入、防信息泄露、凭据安全及用PDO/MySQLi替代废弃函数；必须用预处理语句分离SQL与数据，禁用mysql_*，遵循最小权限、环境变量存密、错误不暴露等原则。
-
PDO::prepare()不能拼接变量以防SQL注入，必须用?或:name占位符；bindValue()传值、bindParam()传引用，多数情况选前者；命名占位符存在兼容性问题，位置占位符更可靠。
-
应启用宝塔WAF并配置SQL注入防护：一、安装/启动WAF模块；二、在规则管理中启用全部SQL注入规则；三、为高风险站点开启高级SQL防护并添加引号拦截规则；四、导入自定义正则规则；五、通过sleep测试及日志验证拦截效果。
-
YAML不能直接改为PHP格式，而应转换为带return语句的PHP数组；需注意类型一致性、空值处理及OPcache缓存问题，并优先确认框架是否原生支持YAML加载。
-
PHP中不存在异步获取数组下标，所有数组操作如array_keys()、isset()均为同步瞬时完成；所谓“异步”实为混淆了IO等待与本地下标查找，真正耗时在数据加载而非下标访问。
-
查找PHP数组重复元素最常用方法是array_count_values()配合array_filter()，可高效提取重复值并自动去重；手动遍历适用于需记录位置、保留顺序或处理非标量数据的场景。
-
PHPtrait中不能直接定义普通实例变量，因trait非类且不支持$this->xxx隐式访问；正确做法是声明static变量或在方法中操作类已声明的属性。
-
str_repeat()是PHP重复字符串的最佳方法，底层C实现更高效安全；$times为0时返回空字符串，为负数时明确报错，避免手写循环的边界问题。
-
PHP中唯一合法的逻辑非运算符是!，它将操作数转布尔后取反，但因类型转换规则复杂（如'0'、0、null均为falsy），易导致误判，应优先使用isset()、empty()、===等严格判断方式。
-
PHP读取PPTX定位图片占位符失败，主因未注册XML命名空间；用PhpPresentation替换图片需同步更新media文件、关系ID及a:xfrm尺寸；ZIP操作须用ZipArchive保持路径大小写和时间戳一致。
-
error_get_last只能捕获最近一次错误，且仅限运行时错误error_get_last不是全局错误监听器，它只是读取PHP内部维护的一个“最后错误快照”。这个快照只在发生E_ERROR、E_WARNING、E_NOTICE等运行时错误后被更新，而且一旦下一次错误发生，前一次就彻底覆盖了。常见错误现象：error_get_last()返回null，不是因为没出错，而是因为你调用它太晚了——比如在try/catch之后、或在错误触发后又执行了其他可能出错的语句（哪怕只是ech
-
Laravel的FlashMessage未显示，通常是因为在重定向前未正确设置session数据，或调用方式错误；正确做法是使用redirect()->with()将消息写入下一次请求的session，而非手动操作$user->session()。
-
必须先过滤再转换，因intval()和(int)对非法字符串过于宽容，如"123abc"返回123、"0x1A"解析为26，易导致SQL注入或逻辑漏洞；正确做法是用filter_var($val,FILTER_VALIDATE_INT)校验后再转换。
-
宝塔面板回收站有效期需手动设置且必须启用功能，否则误删无法恢复；应配置保留天数、开启回收站开关、启用清空二次确认、添加定时备份，并检查修复磁盘空间不足问题。
