PHP extract() 將陣列鍵值匯入符號表：用法、衝突處理與安全風險

函數原型

extract(array $array, int $flags = EXTR_OVERWRITE, string $prefix = ''): int

• 將陣列鍵名作為變數名、鍵值作為變數值，匯入當前符號表。
• 回傳成功匯入的變數數量。

基本範例

<?php
$vars = ['var1'=>'1', 'var2'=>'2', 'var3'=>'3'];
extract($vars);
echo $var1; // 1
echo $var2; // 2
?>

衝突處理旗標（$flags）

前綴範例

<?php
$a = 'Original';
$arr = ['a'=>'Cat', 'b'=>'Dog'];
extract($arr, EXTR_PREFIX_SAME, 'dup');
echo $a;      // Original（未被覆蓋）
echo $dup_a;  // Cat（衝突加前綴）
echo $b;      // Dog
?>

安全風險與不推薦原因

1. 變數汙染：使用者可控制陣列鍵名（如 $_REQUEST），覆蓋關鍵變數（$is_admin、$db_config）。
2. 除錯困難：變數來源不明確，靜態分析工具無法追蹤。
3. 效能開銷：符號表操作比直接陣列存取慢。

推薦替代方案

<?php
// 方案一：foreach 明確指派（可控制範圍）
foreach ($vars as $k => $v) {
    $$k = $v; // 變數變數，仍有風險但可加前綴
}

// 方案二：直接使用陣列存取（最清晰、安全）
$var1 = $vars['var1'] ?? null;

// 方案三：解構賦值（PHP 7.1+）
['var1' => $var1, 'var2' => $var2] = $vars;
?>

適用場景（極少數）

• 模板引擎渲染：將資料陣列匯入視圖作用域（需嚴格控制輸入來源）。
• 舊代碼重構過渡期臨時使用。

結論：現代 PHP 開發強烈不建議使用 extract()，改用明確的陣列存取或解構賦值。