PHP extract() 函式深度解析：陣列轉變數的優雅用法與安全陷阱

extract() 核心功能

將關聯陣列的鍵值對匯入當前符號表，鍵名變為變數名，值變為變數值。常用於表單處理、模板渲染、配置載入。

<?php
// 基本用法
$_POST = ['username' => 'john', 'email' => 'john@example.com'];
extract($_POST);
echo $username; // john
echo $email;    // john@example.com

參數詳解

int extract(array $array, int $flags = EXTR_OVERWRITE, string $prefix = '')

旗標常數 ($flags)

實戰應用場景

1. 表單處理 (搭配 EXTR_SKIP 保護)

<?php
// 預先定義預設值/白名單
$username = $email = $age = '';
$allowed = ['username', 'email', 'age'];

// 只匯入允許的欄位，不覆蓋預設值
$input = array_intersect_key($_POST, array_flip($allowed));
extract($input, EXTR_SKIP);

// 現在 $username, $email, $age 安全可用
// 惡意提交 $_POST['is_admin']=1 也不會建立 $is_admin

2. 模板引擎變數注入

<?php
function render($template, $data) {
    // 所有模板變數加上 tpl_ 前綴，避免污染區域變數
    extract($data, EXTR_PREFIX_ALL, 'tpl');
    include $template;
}

// template.php
// 可用 $tpl_title, $tpl_content, $tpl_user
// 不會與 $title, $content 衝突

3. 配置檔載入

<?php
// config.php 回傳陣列
return [
    'db_host' => 'localhost',
    'db_name' => 'myapp',
    'debug' => true
];

// 載入
$config = require 'config.php';
extract($config, EXTR_PREFIX_ALL, 'cfg');
// 使用 $cfg_db_host, $cfg_db_name, $cfg_debug

安全性陷阱與最佳實踐

❌ 危險用法

<?php
// 直接 extract($_GET) 或 extract($_REQUEST) - 極度危險！
// 攻擊者可注入任意變數：?config_path=/etc/passwd
// 覆蓋 $config_path 導致檔案包含漏洞
extract($_POST); // 未驗證欄位，任意變數注入

✅ 安全模式

1. 白名單過濾：extract(array_intersect_key($_POST, array_flip($allowed)))
2. 使用前綴：EXTR_PREFIX_ALL 隔離命名空間
3. 避免 EXTR_OVERWRITE：預設行為會覆蓋既有變數，改用 EXTR_SKIP
4. 不處理不可信資料：$_GET, $_REQUEST, $_COOKIE 絕不直接 extract
5. 關閉 register_globals：PHP 5.4+ 已移除，但舊代碼遺風需清理

效能考量

• extract() 修改符號表，對 OPcache 最佳化有負面影響 (無法靜態分析變數)
• 高頻呼叫路徑 (如模板渲染迴圈) 建議改用 $data['key'] 直接存取
• 大型陣列 extract 記憶體開銷大 (複製變數值)

替代方案比較