-
PHP变量赋值有五种方式：一是基本赋值（=），值传递；二是引用赋值（&），共享内存；三是变量变量（$$），动态命名；四是复合赋值（+=等），简化运算；五是列表赋值（list或[]），解包数组。
-
PHP代码审计核心是追踪用户输入流向eval、system、unserialize、include等危险函数，重点检查$_GET、$_POST、$_COOKIE等是否未经校验直接参与执行；需结合grep快速定位调用点，人工确认参数可控性，并警惕filter_input等函数误用及php.ini高危配置。
-
最常见原因是漏掉或错放session_start()：它必须位于脚本最顶部，不能有空格、BOM、HTML或任何输出；其次检查session.save_path权限、cookie配置及GC生命周期设置。
-
循环实现阶乘更安全可控：PHP无尾调用优化且默认栈深约100层，递归易触发嵌套超限错误；循环无栈溢出风险、内存恒定、路径清晰，n≤1000时稳定；需避免迭代中混用自增等非常规操作。
-
$_SERVER['REMOTE_ADDR']无法获取真实IP，因其仅表示TCP连接发起方（如Nginx、CDN节点）的IP；真实IP需结合可信代理（如Nginx、Cloudflare）透传的X-Real-IP或HTTP_CF_CONNECTING_IP等头字段，并严格校验代理IP是否在白名单内。
-
PHP未死，但必须采用PHP8.3+的strict_types=1、readonly类、类型化输入边界、固定镜像版本、自动化工单兼容检查等现代实践来保障协作效率与线上稳定性。
-
只改phpMyAdmin配置没用，因登录依赖前端Cookie有效期（$cfg['LoginCookieValidity']）和后端PHPsession存活时间（session.gc_maxlifetime）双重控制，后者是硬限制——若PHPsession被垃圾回收，即使Cookie未过期也会立即失效并报错。
-
启用ZendOPcache可显著提升PHP站点性能，具体方法包括：一、宝塔后台一键启用；二、手动编辑php.ini调优参数；三、通过命令行与PHP脚本双重验证生效状态。
-
PHP解密报“语法错误”主因是解密后代码含非法字符、编码损坏或语法不兼容。需依次检查输出合法性、密文完整性、eval执行逻辑、混淆器注入结构及PHP版本兼容性。
-
Yii2中with()预加载失效的主因是未在最终执行查询前调用，或被后续with()覆盖；正确用法是Order::find()->with('user')->all()，且关联排序/筛选需配合joinWith()并注意JOIN类型与索引优化。
-
PHP不处理视觉效果，渐变高亮由前端实现：①用:focus+transition实现轻量高亮；②PHP仅动态输出class控制服务端状态样式；③JS补足多阶段交互并确保状态同步。
-
PHP8.4不内置DI容器，需手动实现；可利用Attributes和增强反射（如ReflectionParameter::getType）实现类型安全的自动构造注入，但需strict_types=1、避免builtin类型、手动处理联合类型与循环依赖，并用WeakMap缓存实例。
-
PHP8.0起throw可作表达式用于三元、空合并等上下文，但必须用括号包裹；此前版本因throw是语句而非法。
-
PHP无法直接测量单个变量内存，需用memory_get_usage()前后差值估算，但受写时复制、引用计数等机制影响，实测需配合gc_collect_cycles()、独立作用域和强制复制。
-
PHP处理404错误需三步：1.Apache配置中用ErrorDocument404/404.php（写入vhosts.conf或httpd.conf，非.htaccess）；2.404.php首行必须为http_response_code(404)，且无BOM、空白或输出；3.重启Apache并用curl-I验证响应头为404。
