-
苹果支付金额校验需严格比对in_app中price与本地订单金额、绑定product_id价格表、检查price_change_tag、验证bundle_id一致性、确保transaction_id与order_id原子绑定。
-
phpenv命令行输出全是英文，因其为纯Shell脚本，所有文本硬编码且无i18n支持；第三方中文界面（如phpenv.cn、phpEnvforWindows）与原生phpenv无关。
-
eval()动态创建类极危险，因直接执行字符串代码，输入可控即导致远程代码执行（RCE），如URL参数注入可写入WebShell；PHP8.1+加警告但不阻止，OPcache缓存难清除，静态分析失效。
-
Nginx负载均衡核心是upstream模块，必须定义在http块顶层，配合fastcgi_pass指向多PHP-FPM端口（如9000/9001/9002），禁用proxy_pass；需手动启动多个PHP-FPM实例并验证响应头X-PHP-Port变化以确认分发生效。
-
Yii2默认不解析application/json请求体，需在config/web.php中为request组件配置'parsers'=>['application/json'=>'yii\web\JsonParser']，否则post()和getBodyParams()均为空。
-
Xdebug性能分析文件存在严重安全风险：默认输出目录若被Web服务器暴露，攻击者可直接下载cachegrind.out.*文件获取函数调用栈、参数及路径等敏感信息；Webgrind未鉴权且存在路径遍历漏洞；XDEBUG_TRIGGER参数可能被伪造触发采样。防护需三重措施：隔离输出目录权限、禁用Web访问、严格限制触发条件与访问范围。
-
PHP运行异常需按五步排查：一、检查PHP安装及环境变量配置；二、验证Web服务器PHP模块加载与配置；三、确认php.ini生效路径及关键参数；四、排查扩展模块加载失败原因；五、开启并分析错误日志定位具体问题。
-
golismero已停止维护，无法检测现代PHP漏洞；推荐dalfox+nuclei组合，并手动验证LFI/RFI及PHP-FPMFastCGI漏洞。
-
改了hosts仍打不开myproject.test，主因是未以管理员权限保存、DNS缓存未清、Apache未重启或域名后缀不规范；必须用127.0.0.1+.test后缀，确保hosts路径正确、格式无空格，并执行ipconfig/flushdns及重启Apache。
-
宝塔面板安装前须检查systemd状态、ip_forward开启及SELinux模式；优先选CentOS7+/Ubuntu20.04+；避坑镜像源、分区策略与装后三项关键配置。
-
phpEnv下DedeCMS单安装多站点风险极高，因cfg_multi_site为伪多站机制，易致URL错乱、图片路径失效、后台异常且无法升级；唯一可行方案是各站点独立部署，彻底隔离目录与数据库。
-
Yii框架定时任务需通过Console控制器（继承yii\console\Controller，actionXXX方法）配合系统crontab实现，禁用config/console.php中非官方的task配置；crontab须用绝对路径、显式cd切换目录、完整重定向输出，并注意PHPCLI环境一致性。
-
phpEnv默认不启用MEMORY表支持，因引擎未加载或max_heap_table_size/tmp_table_size过小导致静默降级为MyISAM；需修改my.ini启用引擎并调大内存限制，重启服务后验证；仅适用于极小、高频读、可丢失的临时数据场景。
-
PHP$_FILES多文件上传时，字段名含“[]”才生成二维数组结构；name="photos[]"使$_FILES['photos']按name、tmp_name等键分组存储各文件信息，需同步索引遍历各子数组防错配。
-
Laravel使用Blade模板引擎实现视图渲染，Blade通过{{}}输出变量、@if/@foreach等指令控制逻辑，支持模板继承@yield与@section构建布局，可用@include引入局部视图，组件语法<x-component>提升复用性，数据由控制器通过view()传递，文件位于resources/views目录，.blade.php后缀。
