ExpressionLanguage专为运行时轻量判断设计，用于权限检查、模板条件、路由匹配等；需显式传变量、注册函数，仅支持白名单操作符，不可执行复杂业务逻辑。
ExpressionLanguage 用在哪？不是用来写业务逻辑的
它专为「运行时轻量判断」设计，比如权限检查、模板显示条件、路由匹配规则。别拿它当 PHP 解释器去执行复杂操作——没作用域、不支持类、不能调用任意函数，只认白名单里的函数和操作符。
常见错误现象：Attempted to call function "json_decode" 或 Undefined variable "user"，本质是忘了它默认不暴露全局变量或 PHP 内置函数。
- 必须显式传入变量：用
evaluate()第二个参数传数组，如['user' => $user, 'now' => new \DateTime()] - 要用函数得先注册：比如
$el->register('is_granted', [$authChecker, 'isGranted']) - 不支持
use、class、foreach，只支持if（三元）、&&、in、==等基础表达式
怎么安全地传变量进去？别直接 dump 对象
ExpressionLanguage 不会自动展开对象属性，user.roles 能用，但前提是 user 是个带 public 属性或有 getter 的对象，且你没禁用魔术方法（默认开启）。
容易踩的坑：传 Doctrine Entity 时，如果用了 lazy loading，user.posts 可能触发额外查询甚至报错；传数组要小心键名是否含点号（data.user.name 合法，data['user.name'] 不合法）。
立即学习“PHP免费学习笔记（深入）”；
- 推荐只传简单结构：
['user' => ['roles' => ['ROLE_ADMIN'], 'id' => 123]] - 若必须传对象，确保关键属性可读，或提前转成数组：
get_object_vars($user) - 永远验证表达式字符串来源：用户输入？配置文件？别让未过滤的字符串进
evaluate()
性能要注意：不要在循环里反复 compile
parse() 和 compile() 是耗时操作，但 evaluate() 很快。如果你有一组固定表达式（比如从数据库读出的权限规则），应该提前 parse 并缓存结果，而不是每次请求都重解析。
典型低效写法：foreach ($rules as $rule) { $el->evaluate($rule['expr'], $vars); } —— 每次都在内部重复 parse。
- 正确做法：用
$parsed = $el->parse($expr)得到Expression对象，复用它多次evaluate() - Symfony 自带缓存：启用
cache: 'pool'配置后，ExpressionLanguage会自动缓存编译结果 - 调试时加
var_dump($el->compile($expr))看生成的 PHP 代码，能帮你理解它到底干了什么
常见权限表达式怎么写？别硬套 if-else
它不是模板引擎，没有块级语法。所有逻辑压成一行布尔表达式。比如「管理员或本人」写成 is_granted('ROLE_ADMIN') or user.id == target.id，而不是嵌套判断。
注意运算符优先级：and/or 优先级低于 ==、in，所以 user.role in ['ADMIN', 'EDITOR'] or user.id == 1 没问题，但 user.role in ['ADMIN'] or 'EDITOR' 就会出错（后者恒真）。
- 时间比较：用
date('Y-m-d') >= '2024-01-01'，date是内置函数 - 数组包含：用
'ROLE_EDITOR' in user.roles，不是in_array() - 空值判断：用
user is not defined或user is null，不是empty(user)
最常被忽略的是上下文隔离性——它不共享 PHP 的任何状态，连 $_SERVER 都没有，所有依赖必须显式传入。写完表达式，务必用不同数据组合手动测几个边界 case，比如 user 为 null、roles 为空数组、时间字段缺失时会不会崩。
