-
用户偏好应存于数据库独立表user_preferences中，关联user_id，避免使用session或cookie；需用原子更新防竞态，前端乐观更新并校验ETag，服务端统一生成时间戳或加版本号防覆盖。
-
所有外部输入只要参与控制流、文件路径、SQL、系统命令或动态代码加载，必须白名单校验；常见被忽略点包括$_GET['sort']、$_POST['template']、$_SERVER['HTTP_ACCEPT_LANGUAGE']、$_REQUEST['action']。
-
Hyperf通过自定义进程与独立监控进程实现后台任务可观测性，重点监控“做什么、做得好不好”。自定义进程自带自动拉起、多副本、动态启停；监控进程每5秒采集指标并上报Prometheus，/metrics接口暴露数据，支持CLI快速调试。
-
PHP实时高性能计算需五步优化：一、用Swoole协程数学函数替代原生调用；二、启用OPcache预编译与常量折叠；三、通过FFI调用C语言计算库；四、禁用ZVAL引用计数与GC扫描；五、配置JIT编译并限定内联范围。
-
在Yii2中，URL查询参数如customer-id因含短横线无法直接作为动作方法的参数名（PHP变量名不支持-），需通过Yii::$app->request->get()显式获取，而非声明为方法形参。
-
PHP数组设计核心是易读、易查、易维护，需语义清晰（用描述性键名）、层级适中（≤3层）、键名统一（小写下划线）、预留弹性（显式设null/空数组），复杂逻辑应交由类处理。
-
file_get_contents默认打不开远程URL是因为PHP配置中allow_url_fopen被禁用；替代方案包括stream_context_create+fopen、fsockopen直连和file()配合上下文，其中前者最轻量可控。
-
可通过命令行输入php-v查看版本；用phpversion()函数输出版本号；调用phpinfo()显示完整配置；查看源码main/php_version.h文件获取版本定义。
-
需依“空”定义选策略：一、array_filter()默认去假值；二、自定义回调仅删空字符串与null；三、array_diff()差集排除指定值（null处理不可靠）；四、遍历+unset手动清；五、trim后严格判空。
-
短链接还原失败主因是目标平台（如t.cn）拦截非浏览器请求，需设置真实User-Agent等cURL选项；t.cn必须调用微博官方API，不可硬解。
-
PHP不处理视频播放，仅从数据库读取元数据并输出安全的相对路径或标识符供前端video标签使用；路径应存相对路径或UUID，禁用绝对路径；需正则校验+htmlspecialchars过滤；404多因服务器配置、编码或权限问题。
-
ThinkPHP调试需优先检查.env中APP_DEBUG配置，确保其为true且文件位于根目录；Apache需启用mod_rewrite；自定义异常处理器应调用parent::render()保留堆栈；SQL日志需开启trace/log_sql并保证runtime可写。
-
防止越权访问需每次请求校验身份、资源和权限三要素，PHP后端须在数据库操作前动态验证，禁用客户端传入ID或角色，强制归属约束与细粒度策略判断，并辅以日志审计和二次验证。
-
foreach是最常用且最安全的PHP数组遍历方式，专为数组和对象设计，不改变原数组指针，避免修改导致的错位或跳过；for适合索引连续、需控制下标的场景，但需注意性能优化。
-
max_execution_time未生效需检查ini_set位置及SAPI类型：CLI下有效，Apachemod_php中若为PHP_INI_SYSTEM则被忽略；应优先在php.ini、.htaccess（Apache）或php-fpm.conf（Nginx）中配置，并同步调整Web服务器超时参数。
