-
应使用$_SERVER['HTTP_X_FORWARDED_PROTO']优先判断协议，其次$_SERVER['HTTPS']==='on'，最后fallback到$_SERVER['SERVER_PORT']==443，再拼接$_SERVER['HTTP_HOST']；不可用$_SERVER['SERVER_NAME']因它取自服务器配置而非用户请求。
-
pg_connect()默认不启用SSL，必须显式配置sslmode；最简加密方式是连接字符串中加sslmode=require；需通过pg_stat_ssl验证是否真走SSL，且服务端须配置ssl=on及hostssl规则。
-
Webman多级代理下获取真实IP需Nginx透传、realip模块启用及应用层安全读取三者配合：首层用proxy_set_headerX-Forwarded-For$remote_addr初始化，后续层用$proxy_add_x_forwarded_for追加；Nginx需配置set_real_ip_from可信网段、real_ip_headerX-Forwarded-For及real_ip_recursiveon；Webman中应使用Request::getRealIp()而非直接解析HTTP头。
-
DoctrineORM在Symfony中需完成配置连接、生成实体并建表、通过EntityManagerInterface操作数据三步闭环；任一缺失将导致find()返回null、persist()报SchemaException或服务注入失败。
-
PHP密码哈希强制使用Argon2或bcrypt，须通过代码规范、配置约束和运行时检查确保仅走安全路径：禁用不安全函数、封装统一API、分层适配算法、登录时自动升级旧哈希，并在部署阶段验证环境兼容性。
-
PHP不适合作为高并发API网关核心运行时，应退居为策略服务，由Nginx+OpenResty或Envoy承担原子性、低延迟任务（如限流熔断），PHP仅负责需业务上下文的动态鉴权、规则计算等决策。
-
空结果缓存防穿透的关键在于统一入口写入、原子性保障、动态TTL及与布隆过滤器分层协同；Hyperf中需禁用直连Redis::get()，强制走Cache::get()并用'__NULL__'标记+短TTL兜底。
-
直接编译PHP8.2在macOS上可行，但必须显式安装Xcode命令行工具和Homebrew，安装icu4c并在configure时指定--with-icu-dir，最后用install_name_tool注入rpath才能使intl扩展正常加载。
-
Laravel事务日志记录有五种方法：一、DB::listen监听SQL；二、手动包裹事务并注入日志上下文；三、扩展DB门面重写事务方法；四、使用Telescope事务探测器；五、利用DB::transaction回调捕获异常。
-
fgetcsv()是PHP8.3导入CSV的最安全选择，因其按RFC4180规范处理引号、转义和嵌入换行；explode()和str_getcsv()均无法可靠解析真实CSV数据。
-
PHP生成CSV时时间戳乱码或显示为0的根源在于Excel跨平台解析逻辑差异：Mac版将其误判为序列号导致1905年，Windows版因区域设置错乱显示#VALUE!；解决方法是用date('c',$ts)生成ISO8601字符串，加单引号前缀强制文本识别，并配合UTF-8BOM头与fputcsv()自动转义写入。
-
Monolog是独立于Symfony的成熟PHP日志库，纯项目中通过composerrequiremonolog/monolog安装，用Logger实例配合RotatingFileHandler（非StreamHandler）实现按天轮转日志，并通过LineFormatter启用trace与上下文输出。
-
必须。rename()静默覆盖目标文件，但因目录不可写、源不可读或文件被占用等失败时不抛异常；安全替换需三步检查：源文件存在可读、目标目录存在可写、目标文件是否存在以决定备份或中止。
-
应使用is_array($arr)&&!empty($arr)判断非空数组，避免empty()误判；array_merge()重置数字键而+左优先；遍历时修改数组需用array_filter或延后操作；json_decode保键类型宜用stdClass或加前缀处理。
-
PHP读不到config.ini需先确认是否误用函数：原生仅支持parse_ini_file()或parse_ini_string()读INI，不支持YAML等格式；路径错误、权限不足或传入非INI文件均会导致失败。
