拓冰网站定制 
1. 为什么到了2024年还要写一份PHP基础教程原因很简单我最近翻了一圈后台的搜索关键词发现不管是从其他语言转过来学PHP的还是刚毕业被安排接手老项目的大家都在找一套能直接上手的PHP基础内容。PHP被唱衰了很多年但你打开招聘软件看一圈企业官网、小程序后端、电商系统、企业内部管理系统这些需求里PHP依然占有相当大的份额。我自己这几年接的私活三分之一是传统企业官网配套的后台三分之一是给中小公司做数据管理系统剩下的是各种零碎需求。老板不在乎你用的是什么语言在乎的是功能能不能快点上线、服务器成本低不低、出了问题有没有人维护。PHP在这几个维度上的表现到今天依然能打。所以我的结论是现在系统学一遍PHP基础不是逆潮流而是性价比很高的技能投资。这篇内容不是逐条讲语法的教科书是我从实际开发里提炼的一套流程怎么搭环境、怎么写第一个能连数据库的程序、怎么处理表单、怎么和前端联调、怎么避开新手最常见的坑。适合刚接触编程、准备把PHP当作第一门服务端语言的读者也适合已经写过一点代码但始终感觉不系统的初学者。看完你至少能独立完成一个带前后端交互和数据存储的小项目比如图书管理系统、记账本、简单的电商后台。2. 环境和工具开工前先把坑填平2.1 集成环境如何选择PHPStudy、XAMPP还是Docker很多老教程让你去官网一个个装Apache、装MySQL、装PHP再手动改一堆配置文件放在十年前还算合理现在完全是浪费人生。集成环境工具一键搞定我平时最常用的是PHPStudy。原因非常实际界面点两下就能切换PHP 5.6到8.2之间的任意版本这对同时维护老项目和新项目的人来说是刚需。老项目跑PHP 5.6或者7.0企业客户的老代码往往依赖低版本特性框架都换不动更不会让你升版本。新项目用PHP 8.0以上性能和语法糖提升明显比如空安全操作符?-、构造函数属性提升写起来舒服很多。经常有人问PHPStudy怎么升级PHP版本这个操作在软件管理里先把对应版本下载装上然后在首页切换就行不用动系统环境变量。如果你是在团队环境里开发或者部署服务器的系统版本五花八门那Docker是更稳的选择。我用Docker打包PHP项目时最小可用的镜像配置长这样FROM php:8.2-fpm RUN docker-php-ext-install pdo_mysql COPY ./code /var/www/html注意第二行的docker-php-ext-install这是PHP官方镜像自带的扩展安装命令装好pdo_mysql才能让PHP连数据库。Docker的意义就是把“在我机器上能跑”变成“在哪都能跑”对团队协作的价值远大于个人开发。个人开发图省事还是PHPStudy团队协作建议直接上Docker。2.2 编辑器选型VSCode和NetBeans的实际体验编辑器选择的问题我经常被问到也看到有人纠结NetBeans和VSCode。NetBeans是很多老教程推荐的PHP IDE自带运行和调试功能适合完全不熟悉命令行的新手。但我个人的建议是用VSCode装上PHP Intelephense扩展之后代码提示、跳转定义、错误提示这些核心体验完全不输付费IDE而且生态更丰富。VSCode里有个新手常困惑的点写完PHP文件按F5发现什么都不发生。因为PHP是服务端语言浏览器不能直接运行它。要跑起来有两条路。第一条是装PHP Server之类的扩展右键一键启动。第二条是用PHP内置的Web服务器命令行里执行php -S localhost:8000然后浏览器访问http://localhost:8000/你的文件.php就行。这个内置服务器是开发阶段的利器零配置、起服务快不用像Apache那样去管一堆虚拟主机配置。VSCode写PHP的体验调到位的标准是函数名能跳转到定义处、写数组时能补全键名、保存文件自动格式化。2.3 从零开始的第一个PHP程序按老规矩第一个程序还是Hello World但你要先理解一件事PHP代码是嵌在HTML里执行的文件名的后缀是.php。写一个最简单的?php echo Hello World;?php开启PHP代码块如果文件里全是PHP代码建议不要写结尾的?防止文件末尾多出空格或者换行导致输出内容里混入意外字符。这个细节在写接口时很坑返回值里多一个空格前端就报解析错误。我第一次写接口就踩过排查了半小时最后发现是文件末尾多了一个空行。3. 语法基础与那些新手容易记混的操作3.1 变量、运算符与弱类型的那点事PHP的变量以$开头声明不需要类型这是它容易上手的原因也是很多隐蔽bug的来源。看个例子$a 100; $b 50; echo $a $b; // 输出150100被自动转成数字了弱类型转换在程序员看来是“方便”在程序运行时就可能是灾难。所以我的习惯是从外部拿到的数据不管是表单、接口还是数据库查询结果先确认或转换成预期类型再参与运算或者比较。判断两个值是否相等时尽量用而不是因为只比较值1和1会视为相等会连类型一起检查。新手在权限判断、状态判断上该用的几乎都是。运算符这块有几个容易被忽略的写法$a 5; echo $a; // 先输出5然后$a变成6 echo $a; // 先让$a变成7再输出7前端转过来的同学容易在这里栽跟头自增运算符放在变量前后的执行顺序不同工作里在循环和分页计算时用错数字直接差一位。3.2 从字符串里取出数字一个高频小需求经常有人问怎么从字符串里把数字取出来这个需求我在实际项目里遇到过很多次从订单编号里提取序号、从地址信息里抽邮编、从导入的Excel数据里清理出纯数字手机号。最省事的方法是用正则代码短小且稳定$str abc123def456; preg_match_all(/\d/, $str, $matches); print_r($matches[0]); // 输出 Array([0]123 [1]456)preg_match_all会把所有匹配到的数字都收进$matches[0]。如果只要第一个数字用preg_match(/\d/, $str, $matches)就行。正则表达式在PHP里是必学项尤其是处理字符串时很多新手用一堆str_replace和substr拼凑出来的功能一句正则就解决了。学正则先记住三个最常用的\d匹配数字\w匹配字母数字下划线.匹配任意字符量词表示一次到多次*表示零次到多次。3.3 数组转JSON和中文序列化的处理现代PHP开发里接口返回的数据基本都是JSON格式。数组转JSON用json_encode$data [name 张三, age 28]; echo json_encode($data, JSON_UNESCAPED_UNICODE);注意后面那个JSON_UNESCAPED_UNICODE参数不加的话中文会被转成\u5f20\u4e09这种形式前端JS解析没问题但在浏览器里直接看接口返回就会一头雾水排查问题效率极低。如果是JSON解析失败先确认是不是忘了加这个参数再检查字符串里有没有多余逗号或者单引号JSON标准只认双引号。还有人担心序列化中文会不会出乱码。这里说的序列化指的是serialize()函数把数组或对象转成可存储的字符串。序列化中文本身没有乱码问题真正会把数据弄乱的是字符集不一致。比如数据库连接没设置utf8mb4网页声明是UTF-8数据入库再取出来就变成问号了。解决办法是在连接数据库之后马上执行$pdo-exec(set names utf8mb4);这个坑我见过太多次不是序列化的锅是字符集没对齐的锅。凡是看到中文变问号第一反应查字符集第二反应查Collation排序规则而不是怀疑函数本身。3.4 数字金额转中文大写一个经典的实际需求另一个常被问到的需求是小写金额转大写这在财务系统里特别常见比如报销单上要把金额1234.56转成“壹仟贰佰叁拾肆元伍角陆分”。思路是先定义好数字和单位的映射然后按四位一节拆解拼接。我封装过的函数长这样function moneyToChinese($num) { $cDigit [零,壹,贰,叁,肆,伍,陆,柒,捌,玖]; $cUnit [,拾,佰,仟]; $cBigUnit [,万,亿]; $integer floor($num); $decimal round(($num - $integer) * 100); $integerStr (string)$integer; $len strlen($integerStr); $bigUnitIndex 0; $result ; while ($len 0) { $section substr($integerStr, -4); $integerStr substr($integerStr, 0, -4); $sectionResult ; for ($i 0; $i strlen($section); $i) { $digit (int)$section[$i]; if ($digit ! 0) { $sectionResult . $cDigit[$digit] . $cUnit[strlen($section) - 1 - $i]; } else { if (substr($sectionResult, -1) ! 零 $sectionResult ! ) { $sectionResult . 零; } } } $sectionResult rtrim($sectionResult, 零); $result $sectionResult . ($sectionResult ? : $cBigUnit[$bigUnitIndex]) . $result; $bigUnitIndex; $len strlen($integerStr); } $result . 元; if ($decimal 0) { $result . 整; } else { $result . $cDigit[intval($decimal / 10)] . 角 . $cDigit[$decimal % 10] . 分; } return $result; }代码里有两个细节容易踩坑。第一零的处理某个位是0时要判断前一位是不是已经是“零”避免出现“壹佰零零叁”这种重复。第二每四位一节处理完要用rtrim去掉末尾的“零”否则“1000”会变成“壹仟零元整”看着就别扭。这个函数处理到亿元级别没问题再往上要在$cBigUnit里加“兆”等单位。4. 表单处理与前后端交互接收、验证和跨域4.1 GET和POST的正确接收方式PHP接收前端数据主要靠几个超全局变量$_GET、$_POST、$_REQUEST。$_REQUEST是把GET和POST合并了新手图省事常用它但我不建议。一个原因是它可能拿到你本不想要的参数另一个原因是某些配置下它的内容顺序还有讲究容易造成混淆。规范的做法是读地址栏参数用$_GET读表单提交用$_POST读上传文件用$_FILES读请求头用$_SERVER。4.2 一个完整的HTML注册表单与PHP验证代码不少学习项目都有“HTML与PHP注册验证”的需求我写个最常见的例子。前端表单form actionregister.php methodpost 用户名input typetext nameusername required 邮箱input typeemail nameemail required 密码input typepassword namepassword required button typesubmit注册/button /form后端register.php?php if ($_SERVER[REQUEST_METHOD] POST) { $username trim($_POST[username] ?? ); $email trim($_POST[email] ?? ); $password $_POST[password] ?? ; if (mb_strlen($username) 2 || mb_strlen($username) 20) { die(用户名长度需要2到20个字符); } if (!filter_var($email, FILTER_VALIDATE_EMAIL)) { die(邮箱格式不正确); } if (strlen($password) 8) { die(密码至少需要8位); } echo 注册信息校验通过{$username}{$email}; }这段代码里有两个值得说的点。第一??是PHP 7引入的空合并运算符如果$_POST[username]不存在就返回后面的空字符串避免报未定义索引的警告。第二所有来自用户输入的内容都必须先trim去空格再验证长度和格式不要指望用户规规矩矩填数据。用户名长度用mb_strlen而不是strlen因为strlen会把中文按字节数计算一个UTF-8的中文占3个字节用strlen判断长度会误伤中文用户名。4.3 校验失败后如何优雅地回显错误上面的die直接停掉脚本输出内容只适合教学演示。真实项目里更好的做法是把错误信息收集到数组里最后一次性返回给页面$errors []; if (mb_strlen($username) 2) { $errors[] 用户名太短; } if (!filter_var($email, FILTER_VALIDATE_EMAIL)) { $errors[] 邮箱格式不正确; } if (empty($errors)) { // 存入数据库跳转到成功页 header(Location: success.php); exit; } else { echo json_encode([success false, msg implode(, $errors)], JSON_UNESCAPED_UNICODE); }注意这里有个规范用了header之后要马上exit防止后面的代码继续执行。这是我见过的新手翻车现场第一名跳转逻辑写了结果下面的HTML还是输出到了页面上。4.4 跨域问题与JSONP的实际处理跨域和JSONP是前端联调时的高频问题前后端分离开发绕不开。跨域的本质是浏览器的同源策略也就是说前端页面在http://a.com接口在http://b.com浏览器会拦下请求。要解决最常见的方式是接口端设置CORS响应头header(Access-Control-Allow-Origin: *); header(Access-Control-Allow-Methods: GET, POST, OPTIONS); header(Access-Control-Allow-Headers: Content-Type, Authorization);三行代码加在返回数据之前。*表示允许所有域名访问开发阶段无所谓线上如果接口只服务特定前端建议把*换成具体的域名别给数据白嫖的机会。JSONP是早期产物通过script标签的src来绕过同源限制要求前后端配合前端定义回调函数后端把数据包在回调函数里返回。现在有了CORS之后JSONP用得少了但老系统里还有遇到时知道它是在干嘛就够了。前端发起预检请求时后端要记得处理OPTIONS请求否则跨域配置了也白搭。4.5 接口返回数组对象规范化你的响应结构接口返回数据的组织方式我建议不管项目大小统一返回一个结构$response [ code 0, // 0成功非0各种错误 msg ok, data [keyword php基础, list []], ]; echo json_encode($response, JSON_UNESCAPED_UNICODE);这样做的好处是前端可以写统一的处理逻辑code 0走成功分支非0弹出msg。如果没有统一结构每个接口各写各的前端联调起来就是灾难。我在实际项目里见过有的接口成功返回数组、失败返回字符串“error”前端代码里到处都是判断各种意外情况的if改一个字段要全局搜索半天。5. 数据库操作实战MySQLi和PDO怎么选5.1 为什么我推荐PDO而不是MySQLiPHP连MySQL数据库的主流方式有两种mysqli扩展和PDO扩展。区别很简单mysqli只支持MySQLPDO是一个数据访问抽象层支持MySQL、PostgreSQL、SQLite等好几种数据库。我推荐PDO原因不只是多支持几种库更重要的是PDO默认推荐配合预处理语句使用能逼着你写出更安全的数据库代码。连接数据库$dsn mysql:host127.0.0.1;dbnametest;charsetutf8mb4; $username root; $password 123456; try { $pdo new PDO($dsn, $username, $password); $pdo-setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); } catch (PDOException $e) { die(数据库连接失败 . $e-getMessage()); }两点注意charsetutf8mb4写在DSN里这是确保中文不乱码的关键ATTR_ERRMODE设置为异常模式后SQL出错会直接抛异常方便捕获和排查强烈建议每个项目都这样配。数据库密码不要硬编码在PHP文件里环境变量或者配置文件读取都是更好的方案否则代码一旦泄露数据库等于裸奔。5.2 预处理语句写数据库操作的默认姿势数据库操作最容易踩的坑就是SQL注入。所谓SQL注入就是用户输入的内容被直接拼接进了SQL语句导致语句的含义被改变。比如$sql SELECT * FROM users WHERE username $username;如果$username变成了admin --那这条SQL就变成了永远为真的查询数据就泄漏了。正确姿势是使用预处理语句参数和SQL语句分开传$stmt $pdo-prepare(SELECT * FROM users WHERE username ? AND password ?); $stmt-execute([$username, $passwordHash]); $user $stmt-fetch(PDO::FETCH_ASSOC);?是占位符execute时传入参数PDO会帮你处理转义从机制上杜绝了注入。这是我现在写所有数据库操作统一遵守的规则没有例外。任何写SQL的地方只要出现了字符串拼接变量不管变量是哪里来的都要停下来改成预处理。5.3 一个图书管理系统风格的增删改查图书管理系统这类作业需求本质就是一张表的增删改查。我写一个典型的PDO查询列表并展示的例子$stmt $pdo-query(SELECT id, title, author, price FROM books ORDER BY id DESC); $books $stmt-fetchAll(PDO::FETCH_ASSOC); foreach ($books as $book) { echo 《{$book[title]}》作者{$book[author]}价格{$book[price]}元br; }新增、修改、删除分别对应INSERT、UPDATE、DELETE无非是把SQL语句换成对应的模板再通过预处理绑定参数。做管理系统时请记住一个原则所有列表查询都要分页不要一次把几万条数据全查出来渲染到页面上用户不会翻到第几千页服务器却会被拖死。分页SQL用LIMIT offset, pageSize再配合COUNT查总条数算总页数。注意LIMIT后面的两个值都必须是整数不能直接拼接用户传的页码用(int)强制转换一下再拼。5.4 Excel批量处理数据库和数据的桥接Excel批量处理是实际工作中非常常见的需求——客户给你一个Excel让你把里面的数据导入系统。PHP处理Excel最常用的库是PhpSpreadsheet用Composer安装composer require phpoffice/phpspreadsheet读取Excel然后批量入库的套路是先读取所有行到内存数组做格式校验和去重再分批执行INSERT。记住一个教训别在循环里一条一条插入几千条数据一次插入100到500条的速度能提升好几倍因为减少了数据库连接往返的开销。$chunk array_slice($rows, $offset, 500); $pdo-beginTransaction(); foreach ($chunk as $row) { $stmt $pdo-prepare(INSERT INTO books (title, author, price) VALUES (?, ?, ?)); $stmt-execute([$row[title], $row[author], $row[price]]); } $pdo-commit();上面的beginTransaction和commit是事务控制只要有一步失败整批都不入库避免数据半途而废。这是批量导入场景下必须掌握的技能。事务用完要记得commit不然数据不会真写进去排查半天找不到原因。5.5 图片生成与验证码GD库的入门图片生成这块PHP的GD库可以生成验证码图片、给图片加水印、裁剪缩略图。验证码最常见的用途是防止表单被机器人刷。核心代码$im imagecreatetruecolor(100, 30); $bg imagecolorallocate($im, 255, 255, 255); imagefill($im, 0, 0, $bg); $code rand(1000, 9999); $textColor imagecolorallocate($im, 0, 0, 0); imagestring($im, 5, 20, 8, $code, $textColor); header(Content-Type: image/png); imagepng($im); imagedestroy($im);这段代码生成一张100x30的PNG图片上面画一个四位随机数字。生成之后要把$code存到$_SESSION里用户提交表单时对比。生成验证码图片本身不难难的是加干扰线、背景噪点让人类看得懂、机器看不懂那是另一个量级的优化话题。至于验证码识别我的实际建议是优先使用成熟的图像识别API把精力花在业务上别自己从零造轮子识别的准确率和速度都很难达标。6. 错误处理与调试技巧别再用die和echo硬扛6.1 开发环境打开完整错误提示新手最常见的死法之一页面白屏什么都看不到不知道错在哪。原因通常是PHP的display_errors没开。开发环境里第一步永远是把错误显示打开error_reporting(E_ALL); ini_set(display_errors, 1);这两行放在脚本最顶部就能把警告、通知、错误全部显示到页面上。注意生产环境一定要把display_errors关掉改成记录日志ini_set(display_errors, 0); ini_set(log_errors, 1); ini_set(error_log, /tmp/php_error.log);原则很简单开发环境让错误“现形”生产环境让错误“入土”但留下案底。很多线上事故就是因为生产环境开着错误显示数据库报错信息直接甩在用户脸上既难看又泄露信息。6.2 用try/catch捕获异常PDO设置了异常模式之后数据库出错的场景会抛出PDOException用try/catch接住try { $stmt-execute(); } catch (PDOException $e) { error_log($e-getMessage()); echo 数据操作失败请稍后重试; }这里有个技巧给用户看的提示要友好给开发者看的详细信息一定要写日志不要直接echo $e-getMessage()给用户。有一次我遇到线上接口把SQL错误明文返回给前端等于把数据库表结构细节暴露了这是非常低级的错误。错误日志是开发者的好朋友排查问题先看日志不要对着页面瞎猜。6.3 怎么在浏览器控制台输出PHP变量有个挺有意思的问题怎么用PHP在浏览器控制台输出变量。PHP是服务端语言它不能直接调用浏览器控制台但有个土办法让PHP输出一段script标签用console.log打印变量$var [name 张三, age 28]; echo scriptconsole.log( . json_encode($var) . );/script;浏览器打开页面时这段JS会被执行控制台里就能看到数组内容。这个技巧在调试AJAX接口时特别好用比var_dump输出在HTML页面里直观得多。平时我更多的做法是用Xdebug配合断点调试但那需要额外的配置对新手来说控制台输出法已经能解决一大半问题了。6.4 高频报错速查表根据我这几年的经验新手问得最多的报错就那么几个整理成一张表报错信息出现原因解决思路Undefined variable / Undefined index变量不存在或下标不存在用??空合并运算符兜底比如$_POST[name] ?? headers already sent输出内容之后才能发响应头检查脚本开头有没有多余空格、BOM头或先echo再headerClass not found类文件没引入或命名空间不对检查use语句和文件路径用Composer自动加载Call to undefined function mysqli_xxx扩展没启用在php.ini打开对应扩展或在PHPStudy里勾选Maximum execution time exceeded脚本执行超过默认30秒优化代码逻辑或临时set_time_limit(0)“headers already sent”这件事多说一句很多情况下是文件开头有一个看不见的BOM字符或者空行在?php标签之前输出了内容响应头就发不出去了。用编辑器把文件切成UTF-8无BOM格式能解决一大半。其次是echo之后再调header必然报错把header提到所有输出之前。7. 安全开发的基本素养了解漏洞是为了不踩坑另外还有一批搜索词是关于“php反序列化漏洞原理”“php文件包含漏洞data”“php伪协议”的。我先说明立场作为开发者了解这些漏洞原理是为了写出安全的代码而不是去攻击别人。下面是日常开发里防御这些漏洞的实际经验。7.1 文件上传校验扩展名黑名单等于裸奔文件上传是最容易出事故的功能之一。很多初级项目只校验扩展名比如判断是不是.jpg攻击者完全可以传一个内容为PHP代码、后缀改成.jpg的文件再配合其他漏洞执行。正规做法从三个方面防御用$_FILES[file][tmp_name]配合getimagesize检查文件头确认真的是图片。文件存储放在不可执行的目录比如独立的上传目录并配置该目录禁止解析PHP脚本。文件名不要用用户提供的名字用uniqid()生成随机文件名后缀用白名单验证而不是黑名单拦截。上传功能一旦上线就是攻击者的重点目标。宁可功能做得严格一点也别因为“客户要传PDF”就把校验放宽。存储路径和访问规则提前设计好上线后再改就麻烦了。7.2 反序列化漏洞为什么不能反序列化用户输入PHP里unserialize()可以把字符串还原成对象或数组这个功能本身没问题问题出在“反序列化的内容是用户可控的”。攻击者可以构造特殊的序列化字符串在反序列化过程中触发类里的魔术方法进而执行恶意操作。防御要点如下永远不要unserialize()来自用户输入的数据包括Cookie、接口参数。如果确实要存对象用json_encode/json_decode代替JSON不存在对象注入的问题。如果必须用serialize给序列化数据加签名校验比如hash_hmac确认数据没被篡改。序列化和反序列化在缓存、Session存储里都有实用场景但原则是反序列化的数据必须来自可信来源。容易失控的都是从外部传进来的序列化字符串你做Session和缓存传输时用内部机制别让用户直接传参触发。7.3 文件包含漏洞与伪协议白名单是唯一解文件包含漏洞是指程序把用户的输入拼接到include或require的文件路径里导致攻击者能包含指定文件再配合data://或者php://filter这类伪协议读取文件内容。写代码时只要立一个规矩文件路径永远不允许来自用户必须用白名单方式决定包含哪个文件。比如页面参数传pageabout后端只做映射$allowed [home, about, contact]; $page $_GET[page] ?? home; if (in_array($page, $allowed, true)) { include __DIR__ . /pages/ . $page . .php; } else { include __DIR__ . /pages/home.php; }in_array第三个参数传true是严格比较文件名白名单校验不容许任何模糊地带。记住了代码里凡是出现用户输入拼文件路径、拼SQL、拼命令的地方全部换成白名单或参数化方案这条原则能替你挡住绝大多数Web攻击。7.4 密码存储与输出转义两个养成本能的习惯用户密码绝对不能用明文存数据库也不要用MD5加盐这种老办法直接使用PHP内置的password_hash$hash password_hash($password, PASSWORD_DEFAULT); // 校验时用 if (password_verify($password, $hash)) { // 密码正确 }PASSWORD_DEFAULT会跟着PHP版本的算法演进自动调整不用你操心强度。另一个习惯是输出转义所有要输出到HTML里的用户内容统一用htmlspecialchars处理防止XSS。XSS就是用户提交的内容里带了script标签你没过滤直接输出到页面别人的脚本就在你用户浏览器里跑起来了。想偷Cookie、改页面内容都行。转义的写法echo htmlspecialchars($userInput, ENT_QUOTES, UTF-8);这两个习惯养成之后你的代码安全水平已经超过很大一部分线上项目了。安全不是某个功能的事是每个写代码的人都要有的潜意识。8. 后端框架与进阶方向基础打完之后往哪走8.1 框架选型为什么建议学Laravel或ThinkPHP基础语法、数据库操作、安全常识都过关之后下一步建议接触框架。国内Laravel和ThinkPHP是主流Laravel的生态和文档最好ThinkPHP在国内企业里存量很大。框架带来的最大价值不是“少写代码”而是它的目录结构和规范约束。我见过很多自学的人用原生的PHP写业务半年之后代码全挤在一个index.php里几千行没法维护。框架逼着你分层路由、控制器、模型、视图分开以后招人接手成本也低。写框架之前先把基础再夯实一些。我自己带人有个习惯先要求能把一个表单从接收、验证、入库、回显整套流程讲清楚再谈框架。基础不牢框架里的封装你看都是魔法出了问题完全无从下手。8.2 队列与异步处理把耗时操作扔给后台到了有并发压力的时候消息队列就该上场了。业务里遇到导出大Excel、群发通知这类耗时操作不能同步等结果可以先塞进队列再后台慢慢消费。Laravel里队列是官方组件用Redis作为驱动配置简单。队列的价值就是削峰填谷把瞬间的高负载变成平稳的后台处理。学队列之前先搞懂一个概念同步和异步的区别。同步就是排队等异步就是先取号办好了叫你。我写PHP这么多年踩坑最多的阶段就是刚入门那三个月环境装不好、报错看不懂、代码没有规范。现在回头看每个人都有这个阶段。这篇内容把环境、语法、表单、数据库、调试、安全这几个维度串起来了是我实际工作里每天都会用到的套路。你可以照着搭一个图书管理系统或者记账本项目练手遇到问题优先看错误日志其次看官方文档最后再搜解决方案。记住一点凡是用户能输入的地方都要用参数化、白名单、转义这三板斧这是工程师和脚本小子的分水岭。祝你第一个项目顺利跑起来。 2024年PHP基础实战教程：从环境搭建到安全防护
1. 为什么到了2024年还要写一份PHP基础教程原因很简单我最近翻了一圈后台的搜索关键词发现不管是从其他语言转过来学PHP的还是刚毕业被安排接手老项目的大家都在找一套能直接上手的PHP基础内容。PHP被唱衰了很多年但你打开招聘软件看一圈企业官网、小程序后端、电商系统、企业内部管理系统这些需求里PHP依然占有相当大的份额。我自己这几年接的私活三分之一是传统企业官网配套的后台三分之一是给中小公司做数据管理系统剩下的是各种零碎需求。老板不在乎你用的是什么语言在乎的是功能能不能快点上线、服务器成本低不低、出了问题有没有人维护。PHP在这几个维度上的表现到今天依然能打。所以我的结论是现在系统学一遍PHP基础不是逆潮流而是性价比很高的技能投资。这篇内容不是逐条讲语法的教科书是我从实际开发里提炼的一套流程怎么搭环境、怎么写第一个能连数据库的程序、怎么处理表单、怎么和前端联调、怎么避开新手最常见的坑。适合刚接触编程、准备把PHP当作第一门服务端语言的读者也适合已经写过一点代码但始终感觉不系统的初学者。看完你至少能独立完成一个带前后端交互和数据存储的小项目比如图书管理系统、记账本、简单的电商后台。2. 环境和工具开工前先把坑填平2.1 集成环境如何选择PHPStudy、XAMPP还是Docker很多老教程让你去官网一个个装Apache、装MySQL、装PHP再手动改一堆配置文件放在十年前还算合理现在完全是浪费人生。集成环境工具一键搞定我平时最常用的是PHPStudy。原因非常实际界面点两下就能切换PHP 5.6到8.2之间的任意版本这对同时维护老项目和新项目的人来说是刚需。老项目跑PHP 5.6或者7.0企业客户的老代码往往依赖低版本特性框架都换不动更不会让你升版本。新项目用PHP 8.0以上性能和语法糖提升明显比如空安全操作符?-、构造函数属性提升写起来舒服很多。经常有人问PHPStudy怎么升级PHP版本这个操作在软件管理里先把对应版本下载装上然后在首页切换就行不用动系统环境变量。如果你是在团队环境里开发或者部署服务器的系统版本五花八门那Docker是更稳的选择。我用Docker打包PHP项目时最小可用的镜像配置长这样FROM php:8.2-fpm RUN docker-php-ext-install pdo_mysql COPY ./code /var/www/html注意第二行的docker-php-ext-install这是PHP官方镜像自带的扩展安装命令装好pdo_mysql才能让PHP连数据库。Docker的意义就是把“在我机器上能跑”变成“在哪都能跑”对团队协作的价值远大于个人开发。个人开发图省事还是PHPStudy团队协作建议直接上Docker。2.2 编辑器选型VSCode和NetBeans的实际体验编辑器选择的问题我经常被问到也看到有人纠结NetBeans和VSCode。NetBeans是很多老教程推荐的PHP IDE自带运行和调试功能适合完全不熟悉命令行的新手。但我个人的建议是用VSCode装上PHP Intelephense扩展之后代码提示、跳转定义、错误提示这些核心体验完全不输付费IDE而且生态更丰富。VSCode里有个新手常困惑的点写完PHP文件按F5发现什么都不发生。因为PHP是服务端语言浏览器不能直接运行它。要跑起来有两条路。第一条是装PHP Server之类的扩展右键一键启动。第二条是用PHP内置的Web服务器命令行里执行php -S localhost:8000然后浏览器访问http://localhost:8000/你的文件.php就行。这个内置服务器是开发阶段的利器零配置、起服务快不用像Apache那样去管一堆虚拟主机配置。VSCode写PHP的体验调到位的标准是函数名能跳转到定义处、写数组时能补全键名、保存文件自动格式化。2.3 从零开始的第一个PHP程序按老规矩第一个程序还是Hello World但你要先理解一件事PHP代码是嵌在HTML里执行的文件名的后缀是.php。写一个最简单的?php echo Hello World;?php开启PHP代码块如果文件里全是PHP代码建议不要写结尾的?防止文件末尾多出空格或者换行导致输出内容里混入意外字符。这个细节在写接口时很坑返回值里多一个空格前端就报解析错误。我第一次写接口就踩过排查了半小时最后发现是文件末尾多了一个空行。3. 语法基础与那些新手容易记混的操作3.1 变量、运算符与弱类型的那点事PHP的变量以$开头声明不需要类型这是它容易上手的原因也是很多隐蔽bug的来源。看个例子$a 100; $b 50; echo $a $b; // 输出150100被自动转成数字了弱类型转换在程序员看来是“方便”在程序运行时就可能是灾难。所以我的习惯是从外部拿到的数据不管是表单、接口还是数据库查询结果先确认或转换成预期类型再参与运算或者比较。判断两个值是否相等时尽量用而不是因为只比较值1和1会视为相等会连类型一起检查。新手在权限判断、状态判断上该用的几乎都是。运算符这块有几个容易被忽略的写法$a 5; echo $a; // 先输出5然后$a变成6 echo $a; // 先让$a变成7再输出7前端转过来的同学容易在这里栽跟头自增运算符放在变量前后的执行顺序不同工作里在循环和分页计算时用错数字直接差一位。3.2 从字符串里取出数字一个高频小需求经常有人问怎么从字符串里把数字取出来这个需求我在实际项目里遇到过很多次从订单编号里提取序号、从地址信息里抽邮编、从导入的Excel数据里清理出纯数字手机号。最省事的方法是用正则代码短小且稳定$str abc123def456; preg_match_all(/\d/, $str, $matches); print_r($matches[0]); // 输出 Array([0]123 [1]456)preg_match_all会把所有匹配到的数字都收进$matches[0]。如果只要第一个数字用preg_match(/\d/, $str, $matches)就行。正则表达式在PHP里是必学项尤其是处理字符串时很多新手用一堆str_replace和substr拼凑出来的功能一句正则就解决了。学正则先记住三个最常用的\d匹配数字\w匹配字母数字下划线.匹配任意字符量词表示一次到多次*表示零次到多次。3.3 数组转JSON和中文序列化的处理现代PHP开发里接口返回的数据基本都是JSON格式。数组转JSON用json_encode$data [name 张三, age 28]; echo json_encode($data, JSON_UNESCAPED_UNICODE);注意后面那个JSON_UNESCAPED_UNICODE参数不加的话中文会被转成\u5f20\u4e09这种形式前端JS解析没问题但在浏览器里直接看接口返回就会一头雾水排查问题效率极低。如果是JSON解析失败先确认是不是忘了加这个参数再检查字符串里有没有多余逗号或者单引号JSON标准只认双引号。还有人担心序列化中文会不会出乱码。这里说的序列化指的是serialize()函数把数组或对象转成可存储的字符串。序列化中文本身没有乱码问题真正会把数据弄乱的是字符集不一致。比如数据库连接没设置utf8mb4网页声明是UTF-8数据入库再取出来就变成问号了。解决办法是在连接数据库之后马上执行$pdo-exec(set names utf8mb4);这个坑我见过太多次不是序列化的锅是字符集没对齐的锅。凡是看到中文变问号第一反应查字符集第二反应查Collation排序规则而不是怀疑函数本身。3.4 数字金额转中文大写一个经典的实际需求另一个常被问到的需求是小写金额转大写这在财务系统里特别常见比如报销单上要把金额1234.56转成“壹仟贰佰叁拾肆元伍角陆分”。思路是先定义好数字和单位的映射然后按四位一节拆解拼接。我封装过的函数长这样function moneyToChinese($num) { $cDigit [零,壹,贰,叁,肆,伍,陆,柒,捌,玖]; $cUnit [,拾,佰,仟]; $cBigUnit [,万,亿]; $integer floor($num); $decimal round(($num - $integer) * 100); $integerStr (string)$integer; $len strlen($integerStr); $bigUnitIndex 0; $result ; while ($len 0) { $section substr($integerStr, -4); $integerStr substr($integerStr, 0, -4); $sectionResult ; for ($i 0; $i strlen($section); $i) { $digit (int)$section[$i]; if ($digit ! 0) { $sectionResult . $cDigit[$digit] . $cUnit[strlen($section) - 1 - $i]; } else { if (substr($sectionResult, -1) ! 零 $sectionResult ! ) { $sectionResult . 零; } } } $sectionResult rtrim($sectionResult, 零); $result $sectionResult . ($sectionResult ? : $cBigUnit[$bigUnitIndex]) . $result; $bigUnitIndex; $len strlen($integerStr); } $result . 元; if ($decimal 0) { $result . 整; } else { $result . $cDigit[intval($decimal / 10)] . 角 . $cDigit[$decimal % 10] . 分; } return $result; }代码里有两个细节容易踩坑。第一零的处理某个位是0时要判断前一位是不是已经是“零”避免出现“壹佰零零叁”这种重复。第二每四位一节处理完要用rtrim去掉末尾的“零”否则“1000”会变成“壹仟零元整”看着就别扭。这个函数处理到亿元级别没问题再往上要在$cBigUnit里加“兆”等单位。4. 表单处理与前后端交互接收、验证和跨域4.1 GET和POST的正确接收方式PHP接收前端数据主要靠几个超全局变量$_GET、$_POST、$_REQUEST。$_REQUEST是把GET和POST合并了新手图省事常用它但我不建议。一个原因是它可能拿到你本不想要的参数另一个原因是某些配置下它的内容顺序还有讲究容易造成混淆。规范的做法是读地址栏参数用$_GET读表单提交用$_POST读上传文件用$_FILES读请求头用$_SERVER。4.2 一个完整的HTML注册表单与PHP验证代码不少学习项目都有“HTML与PHP注册验证”的需求我写个最常见的例子。前端表单form actionregister.php methodpost 用户名input typetext nameusername required 邮箱input typeemail nameemail required 密码input typepassword namepassword required button typesubmit注册/button /form后端register.php?php if ($_SERVER[REQUEST_METHOD] POST) { $username trim($_POST[username] ?? ); $email trim($_POST[email] ?? ); $password $_POST[password] ?? ; if (mb_strlen($username) 2 || mb_strlen($username) 20) { die(用户名长度需要2到20个字符); } if (!filter_var($email, FILTER_VALIDATE_EMAIL)) { die(邮箱格式不正确); } if (strlen($password) 8) { die(密码至少需要8位); } echo 注册信息校验通过{$username}{$email}; }这段代码里有两个值得说的点。第一??是PHP 7引入的空合并运算符如果$_POST[username]不存在就返回后面的空字符串避免报未定义索引的警告。第二所有来自用户输入的内容都必须先trim去空格再验证长度和格式不要指望用户规规矩矩填数据。用户名长度用mb_strlen而不是strlen因为strlen会把中文按字节数计算一个UTF-8的中文占3个字节用strlen判断长度会误伤中文用户名。4.3 校验失败后如何优雅地回显错误上面的die直接停掉脚本输出内容只适合教学演示。真实项目里更好的做法是把错误信息收集到数组里最后一次性返回给页面$errors []; if (mb_strlen($username) 2) { $errors[] 用户名太短; } if (!filter_var($email, FILTER_VALIDATE_EMAIL)) { $errors[] 邮箱格式不正确; } if (empty($errors)) { // 存入数据库跳转到成功页 header(Location: success.php); exit; } else { echo json_encode([success false, msg implode(, $errors)], JSON_UNESCAPED_UNICODE); }注意这里有个规范用了header之后要马上exit防止后面的代码继续执行。这是我见过的新手翻车现场第一名跳转逻辑写了结果下面的HTML还是输出到了页面上。4.4 跨域问题与JSONP的实际处理跨域和JSONP是前端联调时的高频问题前后端分离开发绕不开。跨域的本质是浏览器的同源策略也就是说前端页面在http://a.com接口在http://b.com浏览器会拦下请求。要解决最常见的方式是接口端设置CORS响应头header(Access-Control-Allow-Origin: *); header(Access-Control-Allow-Methods: GET, POST, OPTIONS); header(Access-Control-Allow-Headers: Content-Type, Authorization);三行代码加在返回数据之前。*表示允许所有域名访问开发阶段无所谓线上如果接口只服务特定前端建议把*换成具体的域名别给数据白嫖的机会。JSONP是早期产物通过script标签的src来绕过同源限制要求前后端配合前端定义回调函数后端把数据包在回调函数里返回。现在有了CORS之后JSONP用得少了但老系统里还有遇到时知道它是在干嘛就够了。前端发起预检请求时后端要记得处理OPTIONS请求否则跨域配置了也白搭。4.5 接口返回数组对象规范化你的响应结构接口返回数据的组织方式我建议不管项目大小统一返回一个结构$response [ code 0, // 0成功非0各种错误 msg ok, data [keyword php基础, list []], ]; echo json_encode($response, JSON_UNESCAPED_UNICODE);这样做的好处是前端可以写统一的处理逻辑code 0走成功分支非0弹出msg。如果没有统一结构每个接口各写各的前端联调起来就是灾难。我在实际项目里见过有的接口成功返回数组、失败返回字符串“error”前端代码里到处都是判断各种意外情况的if改一个字段要全局搜索半天。5. 数据库操作实战MySQLi和PDO怎么选5.1 为什么我推荐PDO而不是MySQLiPHP连MySQL数据库的主流方式有两种mysqli扩展和PDO扩展。区别很简单mysqli只支持MySQLPDO是一个数据访问抽象层支持MySQL、PostgreSQL、SQLite等好几种数据库。我推荐PDO原因不只是多支持几种库更重要的是PDO默认推荐配合预处理语句使用能逼着你写出更安全的数据库代码。连接数据库$dsn mysql:host127.0.0.1;dbnametest;charsetutf8mb4; $username root; $password 123456; try { $pdo new PDO($dsn, $username, $password); $pdo-setAttribute(PDO::ATTR_ERRMODE, PDO::ERRMODE_EXCEPTION); } catch (PDOException $e) { die(数据库连接失败 . $e-getMessage()); }两点注意charsetutf8mb4写在DSN里这是确保中文不乱码的关键ATTR_ERRMODE设置为异常模式后SQL出错会直接抛异常方便捕获和排查强烈建议每个项目都这样配。数据库密码不要硬编码在PHP文件里环境变量或者配置文件读取都是更好的方案否则代码一旦泄露数据库等于裸奔。5.2 预处理语句写数据库操作的默认姿势数据库操作最容易踩的坑就是SQL注入。所谓SQL注入就是用户输入的内容被直接拼接进了SQL语句导致语句的含义被改变。比如$sql SELECT * FROM users WHERE username $username;如果$username变成了admin --那这条SQL就变成了永远为真的查询数据就泄漏了。正确姿势是使用预处理语句参数和SQL语句分开传$stmt $pdo-prepare(SELECT * FROM users WHERE username ? AND password ?); $stmt-execute([$username, $passwordHash]); $user $stmt-fetch(PDO::FETCH_ASSOC);?是占位符execute时传入参数PDO会帮你处理转义从机制上杜绝了注入。这是我现在写所有数据库操作统一遵守的规则没有例外。任何写SQL的地方只要出现了字符串拼接变量不管变量是哪里来的都要停下来改成预处理。5.3 一个图书管理系统风格的增删改查图书管理系统这类作业需求本质就是一张表的增删改查。我写一个典型的PDO查询列表并展示的例子$stmt $pdo-query(SELECT id, title, author, price FROM books ORDER BY id DESC); $books $stmt-fetchAll(PDO::FETCH_ASSOC); foreach ($books as $book) { echo 《{$book[title]}》作者{$book[author]}价格{$book[price]}元br; }新增、修改、删除分别对应INSERT、UPDATE、DELETE无非是把SQL语句换成对应的模板再通过预处理绑定参数。做管理系统时请记住一个原则所有列表查询都要分页不要一次把几万条数据全查出来渲染到页面上用户不会翻到第几千页服务器却会被拖死。分页SQL用LIMIT offset, pageSize再配合COUNT查总条数算总页数。注意LIMIT后面的两个值都必须是整数不能直接拼接用户传的页码用(int)强制转换一下再拼。5.4 Excel批量处理数据库和数据的桥接Excel批量处理是实际工作中非常常见的需求——客户给你一个Excel让你把里面的数据导入系统。PHP处理Excel最常用的库是PhpSpreadsheet用Composer安装composer require phpoffice/phpspreadsheet读取Excel然后批量入库的套路是先读取所有行到内存数组做格式校验和去重再分批执行INSERT。记住一个教训别在循环里一条一条插入几千条数据一次插入100到500条的速度能提升好几倍因为减少了数据库连接往返的开销。$chunk array_slice($rows, $offset, 500); $pdo-beginTransaction(); foreach ($chunk as $row) { $stmt $pdo-prepare(INSERT INTO books (title, author, price) VALUES (?, ?, ?)); $stmt-execute([$row[title], $row[author], $row[price]]); } $pdo-commit();上面的beginTransaction和commit是事务控制只要有一步失败整批都不入库避免数据半途而废。这是批量导入场景下必须掌握的技能。事务用完要记得commit不然数据不会真写进去排查半天找不到原因。5.5 图片生成与验证码GD库的入门图片生成这块PHP的GD库可以生成验证码图片、给图片加水印、裁剪缩略图。验证码最常见的用途是防止表单被机器人刷。核心代码$im imagecreatetruecolor(100, 30); $bg imagecolorallocate($im, 255, 255, 255); imagefill($im, 0, 0, $bg); $code rand(1000, 9999); $textColor imagecolorallocate($im, 0, 0, 0); imagestring($im, 5, 20, 8, $code, $textColor); header(Content-Type: image/png); imagepng($im); imagedestroy($im);这段代码生成一张100x30的PNG图片上面画一个四位随机数字。生成之后要把$code存到$_SESSION里用户提交表单时对比。生成验证码图片本身不难难的是加干扰线、背景噪点让人类看得懂、机器看不懂那是另一个量级的优化话题。至于验证码识别我的实际建议是优先使用成熟的图像识别API把精力花在业务上别自己从零造轮子识别的准确率和速度都很难达标。6. 错误处理与调试技巧别再用die和echo硬扛6.1 开发环境打开完整错误提示新手最常见的死法之一页面白屏什么都看不到不知道错在哪。原因通常是PHP的display_errors没开。开发环境里第一步永远是把错误显示打开error_reporting(E_ALL); ini_set(display_errors, 1);这两行放在脚本最顶部就能把警告、通知、错误全部显示到页面上。注意生产环境一定要把display_errors关掉改成记录日志ini_set(display_errors, 0); ini_set(log_errors, 1); ini_set(error_log, /tmp/php_error.log);原则很简单开发环境让错误“现形”生产环境让错误“入土”但留下案底。很多线上事故就是因为生产环境开着错误显示数据库报错信息直接甩在用户脸上既难看又泄露信息。6.2 用try/catch捕获异常PDO设置了异常模式之后数据库出错的场景会抛出PDOException用try/catch接住try { $stmt-execute(); } catch (PDOException $e) { error_log($e-getMessage()); echo 数据操作失败请稍后重试; }这里有个技巧给用户看的提示要友好给开发者看的详细信息一定要写日志不要直接echo $e-getMessage()给用户。有一次我遇到线上接口把SQL错误明文返回给前端等于把数据库表结构细节暴露了这是非常低级的错误。错误日志是开发者的好朋友排查问题先看日志不要对着页面瞎猜。6.3 怎么在浏览器控制台输出PHP变量有个挺有意思的问题怎么用PHP在浏览器控制台输出变量。PHP是服务端语言它不能直接调用浏览器控制台但有个土办法让PHP输出一段script标签用console.log打印变量$var [name 张三, age 28]; echo scriptconsole.log( . json_encode($var) . );/script;浏览器打开页面时这段JS会被执行控制台里就能看到数组内容。这个技巧在调试AJAX接口时特别好用比var_dump输出在HTML页面里直观得多。平时我更多的做法是用Xdebug配合断点调试但那需要额外的配置对新手来说控制台输出法已经能解决一大半问题了。6.4 高频报错速查表根据我这几年的经验新手问得最多的报错就那么几个整理成一张表报错信息出现原因解决思路Undefined variable / Undefined index变量不存在或下标不存在用??空合并运算符兜底比如$_POST[name] ?? headers already sent输出内容之后才能发响应头检查脚本开头有没有多余空格、BOM头或先echo再headerClass not found类文件没引入或命名空间不对检查use语句和文件路径用Composer自动加载Call to undefined function mysqli_xxx扩展没启用在php.ini打开对应扩展或在PHPStudy里勾选Maximum execution time exceeded脚本执行超过默认30秒优化代码逻辑或临时set_time_limit(0)“headers already sent”这件事多说一句很多情况下是文件开头有一个看不见的BOM字符或者空行在?php标签之前输出了内容响应头就发不出去了。用编辑器把文件切成UTF-8无BOM格式能解决一大半。其次是echo之后再调header必然报错把header提到所有输出之前。7. 安全开发的基本素养了解漏洞是为了不踩坑另外还有一批搜索词是关于“php反序列化漏洞原理”“php文件包含漏洞data”“php伪协议”的。我先说明立场作为开发者了解这些漏洞原理是为了写出安全的代码而不是去攻击别人。下面是日常开发里防御这些漏洞的实际经验。7.1 文件上传校验扩展名黑名单等于裸奔文件上传是最容易出事故的功能之一。很多初级项目只校验扩展名比如判断是不是.jpg攻击者完全可以传一个内容为PHP代码、后缀改成.jpg的文件再配合其他漏洞执行。正规做法从三个方面防御用$_FILES[file][tmp_name]配合getimagesize检查文件头确认真的是图片。文件存储放在不可执行的目录比如独立的上传目录并配置该目录禁止解析PHP脚本。文件名不要用用户提供的名字用uniqid()生成随机文件名后缀用白名单验证而不是黑名单拦截。上传功能一旦上线就是攻击者的重点目标。宁可功能做得严格一点也别因为“客户要传PDF”就把校验放宽。存储路径和访问规则提前设计好上线后再改就麻烦了。7.2 反序列化漏洞为什么不能反序列化用户输入PHP里unserialize()可以把字符串还原成对象或数组这个功能本身没问题问题出在“反序列化的内容是用户可控的”。攻击者可以构造特殊的序列化字符串在反序列化过程中触发类里的魔术方法进而执行恶意操作。防御要点如下永远不要unserialize()来自用户输入的数据包括Cookie、接口参数。如果确实要存对象用json_encode/json_decode代替JSON不存在对象注入的问题。如果必须用serialize给序列化数据加签名校验比如hash_hmac确认数据没被篡改。序列化和反序列化在缓存、Session存储里都有实用场景但原则是反序列化的数据必须来自可信来源。容易失控的都是从外部传进来的序列化字符串你做Session和缓存传输时用内部机制别让用户直接传参触发。7.3 文件包含漏洞与伪协议白名单是唯一解文件包含漏洞是指程序把用户的输入拼接到include或require的文件路径里导致攻击者能包含指定文件再配合data://或者php://filter这类伪协议读取文件内容。写代码时只要立一个规矩文件路径永远不允许来自用户必须用白名单方式决定包含哪个文件。比如页面参数传pageabout后端只做映射$allowed [home, about, contact]; $page $_GET[page] ?? home; if (in_array($page, $allowed, true)) { include __DIR__ . /pages/ . $page . .php; } else { include __DIR__ . /pages/home.php; }in_array第三个参数传true是严格比较文件名白名单校验不容许任何模糊地带。记住了代码里凡是出现用户输入拼文件路径、拼SQL、拼命令的地方全部换成白名单或参数化方案这条原则能替你挡住绝大多数Web攻击。7.4 密码存储与输出转义两个养成本能的习惯用户密码绝对不能用明文存数据库也不要用MD5加盐这种老办法直接使用PHP内置的password_hash$hash password_hash($password, PASSWORD_DEFAULT); // 校验时用 if (password_verify($password, $hash)) { // 密码正确 }PASSWORD_DEFAULT会跟着PHP版本的算法演进自动调整不用你操心强度。另一个习惯是输出转义所有要输出到HTML里的用户内容统一用htmlspecialchars处理防止XSS。XSS就是用户提交的内容里带了script标签你没过滤直接输出到页面别人的脚本就在你用户浏览器里跑起来了。想偷Cookie、改页面内容都行。转义的写法echo htmlspecialchars($userInput, ENT_QUOTES, UTF-8);这两个习惯养成之后你的代码安全水平已经超过很大一部分线上项目了。安全不是某个功能的事是每个写代码的人都要有的潜意识。8. 后端框架与进阶方向基础打完之后往哪走8.1 框架选型为什么建议学Laravel或ThinkPHP基础语法、数据库操作、安全常识都过关之后下一步建议接触框架。国内Laravel和ThinkPHP是主流Laravel的生态和文档最好ThinkPHP在国内企业里存量很大。框架带来的最大价值不是“少写代码”而是它的目录结构和规范约束。我见过很多自学的人用原生的PHP写业务半年之后代码全挤在一个index.php里几千行没法维护。框架逼着你分层路由、控制器、模型、视图分开以后招人接手成本也低。写框架之前先把基础再夯实一些。我自己带人有个习惯先要求能把一个表单从接收、验证、入库、回显整套流程讲清楚再谈框架。基础不牢框架里的封装你看都是魔法出了问题完全无从下手。8.2 队列与异步处理把耗时操作扔给后台到了有并发压力的时候消息队列就该上场了。业务里遇到导出大Excel、群发通知这类耗时操作不能同步等结果可以先塞进队列再后台慢慢消费。Laravel里队列是官方组件用Redis作为驱动配置简单。队列的价值就是削峰填谷把瞬间的高负载变成平稳的后台处理。学队列之前先搞懂一个概念同步和异步的区别。同步就是排队等异步就是先取号办好了叫你。我写PHP这么多年踩坑最多的阶段就是刚入门那三个月环境装不好、报错看不懂、代码没有规范。现在回头看每个人都有这个阶段。这篇内容把环境、语法、表单、数据库、调试、安全这几个维度串起来了是我实际工作里每天都会用到的套路。你可以照着搭一个图书管理系统或者记账本项目练手遇到问题优先看错误日志其次看官方文档最后再搜解决方案。记住一点凡是用户能输入的地方都要用参数化、白名单、转义这三板斧这是工程师和脚本小子的分水岭。祝你第一个项目顺利跑起来。