PHP 字串比較完全指南：== 與 strcmp() 差異解析與實戰應用

PHP 字串比較的兩種核心方式

在 PHP 中比較字串時，開發者常面臨選擇：使用 == 運算子還是 strcmp() 函式？兩者行為差異巨大，選錯可能導致邏輯錯誤。本文深度解析兩者機制與適用場景。

strcmp() 函式：嚴格的二進位比較

函式原型與回傳值

int strcmp(string $str1, string $str2)

關鍵特性：區分大小寫

<?php
$str1 = "a";
$str2 = "b";
$str3 = "ccc";
$str4 = "CCC";

echo strcmp($str1, $str2); // -1 (a < b)
echo strcmp($str3, $str4); // 1 (小寫 c ASCII 99 > 大寫 C ASCII 67)
?>

注意：strcmp() 進行二進位安全比較，嚴格區分大小寫。

== 運算子：鬆散比較與型別轉換

基本用法

<?php
$a = "joe";
$b = "jerry";

if ($a != $b) {
    echo "不相等";
} else {
    echo "相等";
}
// 輸出：不相等
?>

隱含的型別轉換陷阱

<?php
var_dump("123" == "123.0");     // true (數值比較)
var_dump("abc" == 0);           // true (字串轉數值為 0)
var_dump("0e12345" == "0");     // true (科學記號視為 0)
?>

風險：== 會嘗試將字串轉為數值比較，導致非預期的相等判定。

深度對比：何時用哪個？

進階替代方案

strcasecmp() - 不區分大小寫比較

<?php
echo strcasecmp("Hello", "hello"); // 0 (相等)
?>

=== 全等運算子 - 嚴格型別檢查

<?php
$a = "123";
$b = 123;

var_dump($a == $b);  // true
var_dump($a === $b); // false (型別不同：string vs int)
?>

hash_equals() - 時序攻擊安全比較 (PHP 5.6+)

<?php
// 適用於密碼雜湊、Token 驗證等安全敏感場景
if (hash_equals($known_string, $user_input)) {
    // 安全通過
}
?>

實戰建議與最佳實踐

1. 密碼/Token 驗證：務必使用 hash_equals() 或 password_verify()
2. 排序與排序相關邏輯：使用 strcmp() 或 strnatcmp() (自然排序)
3. 一般表單輸入比對：=== 確保型別一致，避免 "0" == false 陷阱
4. 不區分大小寫比對：strcasecmp() 或統一轉大小寫後用 ===
5. 多語言環境：考慮 Collator::compare() (intl 擴展) 處理 Unicode 排序規則

常見錯誤案例

<?php
// ❌ 錯誤：驗證碼比對
if ($_POST['captcha'] == $_SESSION['captcha']) { ... }

// ✅ 正確：嚴格比對
if ($_POST['captcha'] === $_SESSION['captcha']) { ... }

// ❌ 錯誤：API 簽名驗證
if ($signature == $expected) { ... }

// ✅ 正確：防時序攻擊
if (hash_equals($signature, $expected)) { ... }
?>

總結

PHP 字串比較看似簡單，實則暗藏陷阱。strcmp() 提供精確的二進位比較與大小關係；== 便利但易因型別轉換產生 Bug；=== 是日常開發的安全基線；hash_equals() 則是安全關鍵場景的必備。根據業務語境選擇正確工具，是寫出健壯 PHP 程式的關鍵。