PHP多选框提交值需先用isset()和is_array()检查存在性，再用filter_var(..., FILTER_VALIDATE_INT)逐项校验并过滤非法值，最后显式转为整型，避免intval()误转空字符串或非数字导致的安全隐患。
PHP 多选框提交的值默认是字符串数组，直接用 intval() 会出错
HTML 中 <select multiple> 或多个同名 <input type="checkbox"> 提交后，PHP 的 $_POST['xxx'] 是一个字符串数组（如 ['1', '3', '7']），不是数字数组。直接 foreach 里写 intval($v) 看似可行，但若用户没勾选任何选项，$_POST['xxx'] 根本不存在，会触发 Notice: Undefined index；更糟的是，如果某项是空字符串、"abc" 或 "007"，intval() 会静默转成 0、0、7 —— 丢失原始意图。
安全批量转整型：先判断是否存在，再用 filter_var() 逐项校验
比 intval() 更可靠的是用 filter_var($v, FILTER_VALIDATE_INT)，它对非法值返回 false，不会误转。配合 isset() 和 is_array() 做前置检查，能避开 Notice 和脏数据。
实操建议：
- 始终先检查
isset($_POST['tags']) && is_array($_POST['tags']) - 用
array_filter()配合filter_var(..., FILTER_VALIDATE_INT)过滤出合法整数 - 用
array_map('intval', ...)仅在确认全为数字字符串时使用（不推荐作为首选） - 若需保留原始顺序且剔除无效项，避免用
array_unique()或array_values()以外的重排操作
$raw = $_POST['tags'] ?? [];
$ids = [];
if (is_array($raw)) {
foreach ($raw as $v) {
$int = filter_var($v, FILTER_VALIDATE_INT);
if ($int !== false) {
$ids[] = (int)$int; // 显式转 int，确保类型
}
}
}
// $ids 现在是干净的整数数组，如 [1, 3, 7]
用 array_map() + 匿名函数一行过滤？小心空值和非数字穿透
有人喜欢写 array_map(fn($x) => (int)$x, $_POST['tags'] ?? [])，这看似简洁，但等价于 intval()，对 ""、"on"、"null" 全部转成 0。多选框场景下，0 往往是有效 ID，这种误转会导致逻辑错误，比如把“未选择”和“选择了 ID=0 的项”混为一谈。
立即学习“PHP免费学习笔记（深入）”；
真正安全的一行写法（仍建议拆开便于调试）：
<pre class="brush:php;toolbar:false;">$ids = array_filter(
$_POST['tags'] ?? [],
fn($v) => filter_var($v, FILTER_VALIDATE_INT) !== false
);
$ids = array_map(fn($v) => (int)$v, $ids);
前端配合：加 name="xxx[]" 是必须的，但别信 <code>value 一定是数字
后端不能假设前端传来的 value 是整数字符串。即使你写的是 <input type="checkbox" name="user_id[]" value="123">，用户也可能用开发者工具改成 value="abc"，或通过 curl 手动提交恶意数据。所以服务端校验不可省略。
常见疏漏点：
- 忘记给 checkbox 设置
name="xxx[]"，导致只收到最后一个值（PHP 覆盖赋值） - 用
json_encode()或 base64 把数组塞进单个 hidden 字段，反而增加解析负担和 XSS 风险 - 在数据库写入前没做
in_array($id, $allowed_ids)白名单校验，仅靠类型转换不够
类型转换只是第一步，业务合法性校验（比如该 ID 是否属于当前用户可操作范围）必须另做，不能依赖 filter_var 代劳。
