-
推荐通过宝塔面板图形界面修改php.ini：进入「软件商店」→选择PHP版本→「设置」→「配置修改」，可安全调整常用参数并自动校验生效；若需高级修改，可通过「配置文件」在线编辑，路径如/www/server/php/80/etc/php.ini。
-
PHP通过引用符号“&”实现变量共享内存和函数修改外部变量，支持引用赋值、引用传参及返回引用，但需注意及时解除引用避免陷阱。
-
应在关键内存操作后用memory_get_usage(true)主动监控并动态设阈值，结合VmRSS和peak_usage定位真实泄漏点，避免依赖ini_set硬调limit。
-
所有外部输入只要参与控制流、文件路径、SQL、系统命令或动态代码加载，必须白名单校验；常见被忽略点包括$_GET['sort']、$_POST['template']、$_SERVER['HTTP_ACCEPT_LANGUAGE']、$_REQUEST['action']。
-
本文介绍一种基于PHPparse_url()的健壮URL域名校验方法，替代易被绕过的字符串匹配逻辑，确保仅允许指定域名（如myydomain.com）的合法URL创建短链，有效拦截@xxx：https://...等畸形输入。
-
最可靠方案是安装overtrue/pinyinComposer包，支持多音字、自动过滤标点、多种模式及Unicode兼容；降级用iconv+正则但不可靠；需防别名冲突、输入污染和并发问题。
-
优先用MySQLFULLTEXT索引+MATCH...AGAINST实现标题/描述模糊匹配，兼顾性能与精度；LIKE'%关键词%'仅适用于小数据量；需注意索引类型、字段限制及分页统计一致性。
-
dowhile循环先执行后判断，确保循环体至少执行一次；2.语法为do{代码块}while(条件);，末尾需加分号；3.适合需至少执行一次的场景，如用户输入验证。
-
必须用header('Content-Type:application/json;charset=utf-8')设置响应头，且需在任何输出前调用；json_encode()应至少启用JSON_UNESCAPED_UNICODE和JSON_THROW_ON_ERROR；注意BOM、空格、服务器缓冲及CDN干扰。
-
Eloquent加密字段必须通过$casts声明为'encrypted'或'encrypted:array'，否则不生效；加密数据不可查询、序列化默认解密、依赖未轮换的APP_KEY且需TEXT类型存储。
-
Spiral应用需通过RoadRunner启动：先安装rr，再运行rrserve加载.rr.yaml和app.php；中间件须实现PSR-15或继承Spiral\Http\MiddlewareInterface；.env需在app.php中手动加载且置于容器初始化前；DBAL查询慢主因是本地环境默认开启querylogging，应设'logging'=>false。
-
Hyperf环境变量通过.env文件管理并自动加载，支持多环境配置（如.env.production），需通过HYPERF_ENV指定；所有.env值均为字符串，必须显式类型转换（如(int)env()、filter_var(...,FILTER_VALIDATE_BOOLEAN)）；敏感信息应由系统环境变量注入，.env文件须忽略Git；配置优先级为：系统环境变量>.env中env()调用>配置文件默认值。
-
log_message不写日志主因是LOG_PATH配置错误或权限不足；需确保LOG_PATH为绝对路径且以/结尾，Web服务器用户有写权限（如775），日志级别合法且log_threshold足够高。
-
宝塔面板中Java项目不能直接上传WAR包运行，因默认Tomcat作为系统服务不监听/www/wwwroot路径，需手动放至webapps并重启；推荐将网站根目录设为/webapps/ROOT，配置Nginx反向代理至Tomcat，上传ROOT.war后自动解压访问。
-
微信公众号接收消息时必须先校验signature：将token、timestamp、nonce按字典序排序拼接后SHA1加密，与signature比对；GET请求含echostr时需原样返回并exit；POST消息须用file_get_contents('php://input')读XML，simplexml_load_string解析，并注意UTF-8编码、BOM及XML转义。
