給 PHP 新手的 35 條進階避坑指南（含代碼級最佳實踐）

HTTP 與數據交互（5-12）

5. POST/GET 語義邊界：GET 幂等/可緩存/書籤/長度限制；POST 非幂等/體積大/文件上傳/CSRF 風險。
6. Session vs Cookie 存儲策略：敏感數據（用戶 ID、權限）走 Session（服務端存儲）；追蹤標識（購物車、偏好）走 Cookie（客戶端存儲），設置 HttpOnly、Secure、SameSite。
7. 絕不在 Cookie 存明文密碼：哪怕加密也不行，Session ID 才是正解。
8. 數據庫密碼必須加鹽哈希存儲：password_hash($pwd, PASSWORD_BCRYPT) / PASSWORD_ARGON2ID，拒絕 MD5/SHA1/自研加密。
9. 中文傳輸全鏈路 URL 編碼：urlencode() / rawurlencode()，JS 端 encodeURIComponent()，AJAX 同理。
10. AJAX 響應統一 JSON：header('Content-Type: application/json; charset=utf-8')，中文不轉義 JSON_UNESCAPED_UNICODE，結構 {code, msg, data}。
11. require/include 差異與自動加載：require 失敗致命、include 警告繼續；生產環境全面併入 Composer PSR-4 自動加載，拒絕手動引入。
12. 配置文件隔離原則：.env / config/*.php 放在 Web 根目錄外層，Nginx/Apache 禁止訪問隱藏文件。

文件上傳與存儲（13-16）

13. 上傳目錄分層存儲：uploads/{Y}/{m}/{d}/{random}.{ext}，單目錄文件數 < 1000，避免 inode 耗盡、ls 卡死。
14. 上傳必須 POST + enctype：<form method="post" enctype="multipart/form-data">，否則 $_FILES 為空。
15. 驗證碼機制深度思考：生成→存 Session/Redis→輸出圖片/短信→驗證時一次性銷毀，防暴力破解需限流。
16. Memcached/Redis 做緩存層：會話共享、熱點數據、分佈式鎖、限流計數器，掌握 set/get/del/incr/expire 原子操作。

靜態化與安全（17-20）

17. PHP 生成靜態 HTML：ob_start() 捕獲輸出 → file_put_contents() 寫文件 → Nginx 直接服務，QPS 提升 10-100 倍。
18. 永不信任用戶輸入：XSS（輸出轉義 htmlspecialchars）、SQLi（預處理）、命令注入（escapeshellarg）、路徑遍歷（basename + 白名單）、XXE（禁用外部實體）、SSRF（內網 IP 白名單）。
19. 循環優化：緩存 count()：
    ❌ for($i=0;$i<count($arr);$i++) 每次調用 count()
    ✅ for($i=0,$len=count($arr);$i<$len;$i++) 或 foreach
20. 字符集統一 UTF-8 全鏈路：DB utf8mb4、連接 SET NAMES utf8mb4、HTML <meta charset="utf-8">、PHP mb_internal_encoding('UTF-8')、文件保存無 BOM UTF-8。

進階工程課題（21-35）

21. 多字節截取：mb_substr() / mb_strimwidth()，禁用 substr() 導致亂碼。
22. 多服務器 Session 共享：Redis 集群 / 數據庫 Session 表 / NFS 掛載（不推薦），核心是統一 Session ID 存儲介質。
23. 數據庫 Session 存儲實現：實現 SessionHandlerInterface，read/write/destroy/gc 對應 CRUD，設置 session_set_save_handler()。
24. 上傳大小限制多層生效：php.ini: upload_max_filesize/post_max_size、Nginx client_max_body_size、前端 JS 預檢、業務邏輯二次校驗。
25. IP 存儲最佳實踐：ip2long() → INT UNSIGNED（IPv4），INET6_ATON() → VARBINARY(16)（IPv6），範圍查詢極快。
26. Web 聊天室實現路徑：短輪詢 → 長輪詢 → SSE → WebSocket (Swoole/Workerman/GatewayWorker) → 消息隊列廣播。
27. PHP 與 Flash 交互（歷史）：AMF (Zend_Amf)、XMLSocket、ExternalInterface，現代項目已全面棄用。
28. 動態變量名：$var = 'name'; $$var = 'value'; 理解可變變量，但嚴禁業務代碼使用，極難維護/靜態分析。
29. 圖片存 DB vs 存路徑：小圖/高安全/事務一致性 → DB (BLOB)；大圖/高併發/CDN 分發 → 對象存儲 + DB 存 Key。
30. 上傳進度實現：Session 上傳進度 (session.upload_progress) / AJAX 輪詢 / WebSocket 推送 / Nginx Upload Module。
31. 獲取文件後綴 N 種方法：pathinfo()、SplFileInfo、strrchr()、substr(strrpos())、MimeType 判斷、finfo_file() 魔數檢測（最安全）。
32. 多維數組排序：array_multisort()、usort() + 空間船操作符 <=>、array_column() 提取鍵再排序。
33. URL/Email 正則：RFC 5322/3986 完整正則極其複雜，實戰用 filter_var($email, FILTER_VALIDATE_EMAIL)、filter_var($url, FILTER_VALIDATE_URL)。
34. 萬級郵件異步發送：寫入 Redis List / RabbitMQ / Kafka → Worker 進程消費 → 批量 SMTP / API 發送 → 失敗重試 + 死信隊列。
35. 采集器開發要點：curl + 正則/DOMXPath/QueryList → 反爬應對（UA 池、代理 IP、Cookie 池、頻率控制、JS 渲染 Headless Chrome）。
36. 大廠 API 文檔研讀：淘寶開放平台、騰訊雲、微信支付、阿里雲，學習：簽名算法、限流策略、錯誤碼體系、幂等設計、沙箱測試。
37. 中文分詞入門：SCWS、jieba-php、Elasticsearch IK 分詞器，理解：正向/逆向最大匹配、HMM/CRF 統計模型、用戶詞典、停用詞。

成長路徑建議

將上述 35 條轉化為 個人技能雷達圖，每季度攻克 1-2 個盲區，產出：
① 技術博客（原理+代碼+踩坑）
② 開源組件/工具庫
③ 團隊內部分享 PPT
寫代碼不等於懂技術，能講清楚原理並落地解決問題才是硬實力。