AI工具无法完成PHP 5→PHP 8安全迁移，必须依靠PHP自身工具暴露问题并人工逐层收敛：先用php -l扫描语法，再强制显示所有错误，盯死已移除函数，谨慎处理类型声明、str_contains()与match等行为重定义特性，并应对PHP 8错误模型升级。
AI 工具不能直接完成 PHP 5 → PHP 8 的安全迁移。它们会跳过 mysql_* 这类已移除函数、误判 count(null) 在 PHP 8 中仍返回 0 但触发 E_WARNING、把 create_function() 盲替成闭包却忽略 eval() 上下文——这些都不是“写错”，而是语义级断裂。真实路径只有一条：用 PHP 自身工具暴露问题，人工逐层收敛。
先跑 php -l 和完整错误报告
这是唯一能立刻发现硬性断裂的轻量操作。PHP 5 代码在 PHP 8 下常因类型/空值行为变化提前崩溃，但默认不报错。
-
php -l your_file.php扫描语法：尤其注意 PHP 7.4+ 新增的箭头函数、属性类型声明是否被误写成 PHP 5 风格 -
php -d display_errors=1 -d error_reporting=-1 your_file.php强制显示所有警告和错误，包括foreach($null as $v)触发的Fatal error: Uncaught TypeError - Web 环境下必须同步修改
php.ini：设error_reporting = E_ALL、display_errors = On（仅开发环境），否则array_key_exists(null, $arr)这类调用在 PHP 8 会直接抛TypeError却静默失败
盯死三类已移除函数：mysql_*、ereg_*、create_function()
这些不是“弃用”，是 PHP 8 中彻底消失。AI 替换后大概率无法运行，因为缺失上下文判断。
-
mysql_connect()→ 必须统一迁移到PDO（推荐）或mysqli，且要补PDO::ATTR_ERRMODE => PDO::ERRMODE_EXCEPTION；AI 不会检查你是否漏了事务回滚或预处理绑定 -
ereg_replace()→ 改用preg_replace()，但 PCRE 分隔符、修饰符（如i、u）、反斜杠转义逻辑全不同，需逐个验证正则行为 -
create_function('$a', 'return $a+1;')→ 可换为fn($a) => $a + 1（PHP 7.4+）或匿名函数，但若该字符串来自数据库或配置并被eval()动态执行，则无法自动替换，必须重构调用链
别急着加类型声明，先看变量实际流向
给 PHP 5 函数直接加 : ?string 不仅没用，还可能引发运行时失败。类型系统升级的核心是“确认”，不是“标注”。
立即学习“PHP免费学习笔记（深入）”；
- 超全局变量如
$_GET['id']不能直接声明为string，必须用filter_input(INPUT_GET, 'id', FILTER_SANITIZE_NUMBER_INT)显式过滤并断言 - 用
phpstan或psalm做静态分析，看$user->name在整个调用链中是否真的一致为string，还是有时为null、有时为int - 启用
declare(strict_types=1)后，联合类型如string|int要求传入值严格匹配——'123'和123都合法，但PDO::bindValue(':id', $id, PDO::PARAM_STR)若$id是int，SQL 层可能出错，得显式strval($id)
str_contains() 和 match 不是语法糖，是行为重定义
它们改写了老代码的隐含逻辑，机械替换等于引入新 bug。
-
strpos($str, 'abc') !== false→ 改用str_contains($str, 'abc')，但注意它不支持大小写忽略，需要时得用stripos($str, 'abc') !== false；PHP 7.4 以下不支持该函数，兼容层必须自己封装 -
switch有穿透（fallthrough），match没有。如果老代码靠漏写break实现多条件归并（比如 case 1: case 2: return 'x';），直接换match就会逻辑中断，此时应保留switch或拆成多个if -
match表达式必须覆盖所有可能输入，或带default分支，否则运行时报Fatal error: Unmatched match expression；且每个分支必须有返回值，不能只执行语句
最易被忽略的点是：PHP 8 的错误模型变了——很多以前只是 E_NOTICE 或静默容忍的行为（如数组偏移访问、count() 对非数组参数），现在变成 TypeError 或强制抛异常。这意味着你不能只靠“跑起来不报错”来验证迁移完成，必须结合日志、监控和真实用户流量路径做渐进式切流。
