-
eval()中用function定义函数本质是直接执行任意代码，无任何隔离机制，输入可控即导致远程代码执行；应禁用eval和assert的字符串模式，改用白名单、DSL或预定义回调等安全方案。
-
PHP操作Redis缓存核心是使用原生Redis扩展（更轻量高效），需先确认扩展已启用；连接后用set()数组参数设过期时间，pipeline批量操作，空值缓存加随机过期防穿透。
-
判断目录是否为空应使用count(array_diff(scandir($dir),['.','..']))===0，但须先校验is_dir($dir)和is_readable($dir)，因scandir()对非法路径返回false会导致误判；filesize()和stat()['size']不可用。
-
<p>根本原因是SwooleHTTPServer的max_package_size限制（默认4MB）被触发，导致请求体未收全即断连，FileUpload无法执行；需在config/autoload/server.php的settings中配置'max_package_size'=>10010241024，并同步调整Nginx的client_max_body_size及FileUpload的max_size。</p>
-
PHP连接MyCat即连接MySQL协议代理，使用PDO或mysqli直连8066端口、逻辑库名，无需额外扩展；需确保MyCat监听正常、后端MySQL可达、防火墙放行且MySQL8.x用户指定mysql_native_password插件。
-
本文详解如何通过PHP正确调用MozAPIv2的URLMetrics接口，提供基于cURL的完整可运行示例，并指出原file_get_contents方案中常见的请求头、认证、数据格式等关键错误。
-
X-Frame-Options已被弃用，推荐使用CSP的frame-ancestors指令；PHP中用header('X-Frame-Options:DENY')设置，须在任何输出前调用，常见值为DENY、SAMEORIGIN和已废弃的ALLOW-FROM。
-
PHP解析SQL提取字段级血缘关系须用php-sql-parser等AST解析器，而非正则；需遍历语法树追溯表别名、处理子查询嵌套、构建{db}.{table}.{col}格式的字段→字段映射，并区分确定/不确定来源。
-
应使用Nginx的map指令在http上下文中定义全局变量，配合include分离配置、geo实现IP区域判断、Lua模块扩展动态逻辑，并通过自定义日志验证变量生效。
-
phpEnv会自动将extension_dir设为所选PHP版本目录下ext子目录的realpath绝对路径，手动填写相对路径或错误格式会导致“找不到动态库”；应通过php-r"echoini_get('extension_dir');"查看实际生效路径，并优先将扩展文件放入phpEnv自动管理的ext目录。
-
工厂状态是字段补丁而非开关，链式调用后调用覆盖同名字段；常见失效原因是类名/路径不符或误用make()；状态方法支持参数与闭包动态计算，state()仅设字段，afterCreating()处理入库后逻辑。
-
Workerman易受Slowloris攻击是因为其常驻进程模型默认不治理连接，需手动设单IP连接限制、请求头超时（recvTimeout≤15秒）及反向代理隔离。
-
宝塔WAF未启动导致SQL注入规则无效，需先启动服务并启用全局+站点级防护、自定义双引号规则；CC防护须用动态阈值，协同系统防火墙、Nginx并发限制与超时优化。
-
应限制Symfony长时间运行进程的生命周期并主动释放资源：设置超时重启、循环内清空Stopwatch和输出缓冲、禁用非必要回调、避免闭包/静态引用滞留内存，紧盯peak_usage。
-
PHP8.3默认不编译FTP扩展，需手动重编译启用；启用后ftp_put()常因路径、模式或编码问题失败；ftp://封装器功能弱且已标记为legacy。
