PHP 核心知識兩千行筆記精華版

五、陣列操作精選

• foreach 遍歷的是陣列 複製品，修改 $value 不影響原陣列，除非用 &$value 參考；循環體對原陣列操作 (增刪) 生效但不影響遍歷指標。
• 指標函數：current, key, next, prev, reset, end, each；each 回傳 [1=>value, 0=>key, 'key'=>key, 'value'=>value]。

六、函數進階

• 參數：預設值 (必須在非預設參數右側)、引用傳遞 (&$arg)、可變參數 (func_get_args())、型別宣告 (function foo(array $arr, MyClass $obj))。
• 返回：值傳遞 (預設)、引用返回 (function &foo() 需配合 $x =& foo())、return 立即結束函數。
• 作用域：全域 vs 局部；static 靜態局部變數；use 閉包引入外部變數 (值/引用)。
• 匿名函數/閉包：$fn = function($x) use (&$external) { ... }; 實現 Closure 類別物件，可當回呼、陣列元素、返回值。
• 遞歸 vs 迭代：遞歸代碼簡潔但有堆疊溢位風險，深度大時改迭代。

七、物件導向 (OOP) 核心

八、資料庫操作 (PDO 最佳實踐)

$dsn = 'mysql:host=127.0.0.1;dbname=test;charset=utf8mb4';
$pdo = new PDO($dsn, 'user', 'pass', [
    PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION,
    PDO::ATTR_DEFAULT_FETCH_MODE => PDO::FETCH_ASSOC,
    PDO::ATTR_EMULATE_PREPARES => false, // 真實預處理
]);

// 預處理防注入
$stmt = $pdo->prepare('SELECT * FROM users WHERE email = ? AND status = ?');
$stmt->execute([$email, 1]);
$user = $stmt->fetch();

// 事務
$pdo->beginTransaction();
try {
    $pdo->exec('INSERT ...');
    $pdo->exec('UPDATE ...');
    $pdo->commit();
} catch (Exception $e) {
    $pdo->rollBack();
    throw $e;
}

九、錯誤與異常處理

• 錯誤等級：E_ERROR, E_WARNING, E_NOTICE, E_DEPRECATED, E_STRICT 等；error_reporting(E_ALL & ~E_DEPRECATED & ~E_STRICT)。
• 生產環境：display_errors=Off, log_errors=On, error_log=/var/log/php/error.log。
• 自定義錯誤處理器：set_error_handler(function($level, $msg, $file, $line) { ... })。
• 異常：try { } catch (SpecificException $e) { } catch (Exception $e) { } finally { }；自定義異常繼承 Exception；set_exception_handler 捕獲未處理異常。
• Throwable (PHP 7+) 為 Error 與 Exception 共同介面，可 catch (Throwable $e) 捕獲所有。

十、安全防護清單

1. SQL 注入：全域使用 PDO 預處理，嚴禁拼接 SQL。
2. XSS：輸出到 HTML 用 htmlspecialchars($str, ENT_QUOTES, 'UTF-8')；輸出到 JS 用 json_encode；引入 HTMLPurifier 過濾富文本。
3. CSRF：表單隱藏 _token，驗證 $_SESSION['_token'] === $_POST['_token']；同站 Cookie SameSite=Strict/Lax。
4. 檔案上傳：驗證 MIME (finfo_file)、副檔名、大小；儲存路徑非 Web 可訪問；重命名亂數檔名；Nginx 禁用上傳目錄 PHP 執行。
5. 密碼儲存：password_hash($pwd, PASSWORD_BCRYPT)、password_verify($pwd, $hash)；禁止 MD5/SHA1。
6. Session 安全：session.use_strict_mode=1, session.cookie_httponly=1, session.cookie_secure=1 (HTTPS), session.cookie_samesite=Lax；定期 session_regenerate_id(true)。
7. 命令注入：避免 exec, shell_exec, system, passthru；若必須用，參數經 escapeshellarg、escapeshellcmd。

十一、效能優化關鍵點

• 啟用 OPcache (PHP 內建)：opcache.enable=1, opcache.memory_consumption=256, opcache.max_accelerated_files=20000, opcache.validate_timestamps=0 (生產)。
• 使用 Composer Classmap/PSR-4 自動載入，避免大量 require_once。
• 資料庫：索引優化、避免 SELECT *、分頁用 WHERE id > last_id LIMIT n 而非 OFFSET、讀寫分離、Redis 快取熱點資料。
• HTTP：Nginx gzip、expires 快取靜態資源、CDN、Keep-Alive、HTTP/2。
• Profiling：xhprof、Blackfire、Tideways 定位熱點函數。

十二、常用超全域變數 $_SERVER 速查

十三、日期時間處理

• time() 秒級時間戳；microtime(true) 微秒級浮點數。
• date('Y-m-d H:i:s') 格式化；DateTime 物件導向介面 (支援時區、大於 2038 年)。
• strtotime('+1 day') 相對時間解析；DateTime::createFromFormat 解析指定格式。
• 時區：date_default_timezone_set('Asia/Taipei') 或 php.ini: date.timezone。

十四、Composer 與現代開發流

• composer require vendor/package 安裝套件；composer dump-autoload -o 生成優化自動載入。
• composer.json 定義依賴、腳本、自動載入規則 (PSR-4)。
• 常用套件：monolog/monolog (日誌)、vlucas/phpdotenv (環境變數)、firebase/php-jwt (JWT)、ramsey/uuid (UUID)、phpoffice/phpspreadsheet (Excel)。

十五、命令列 (CLI) 模式

php -r 'echo "Hello";'          # 單行代碼
php -l file.php                 # 語法檢查
php -i                          # phpinfo
php -m                          # 已載入模組
php script.php arg1 arg2        # 執行腳本，$argv[0]=腳本名，$argv[1]=arg1，$argc=參數數
# 只在 CLI 模式可用：STDIN, STDOUT, STDERR 常數資源

筆記持續更新中，歡迎星標收藏。配套 MySQL 筆記：一千行 MySQL 學習筆記