最简单有效的做法是用===替换==，但还需防范函数行为、输入来源和隐式转换等陷阱；如"abc"==0为true因左截取转数字规则，MD5哈希比较必须用hash_equals防0e开头的科学计数法绕过。
直接用 === 替换所有 ==，是避开 PHP 弱类型比较陷阱最简单也最有效的做法。但光换运算符还不够——很多坑藏在函数行为、输入来源和隐式转换路径里。
为什么 == 会把 "abc" 当成 0？
PHP 在松散比较时，会对非数字字符串执行「左截取转数字」规则：从开头读，遇到非数字字符就停，全都不匹配则返回 0。
常见错误现象：
-
"abc" == 0→true -
"0e123" == "0e456"→true（科学计数法被识别为0） -
"123abc" == 123→true（只取前面的123）
使用场景：权限判断、登录校验、密码重置等依赖用户输入的逻辑。
立即学习“PHP免费学习笔记（深入）”；
参数差异：== 触发类型转换；=== 跳过转换，直接比值+类型。
性能影响：几乎无差别；但 === 更可预测，调试成本低。
empty() 和 isset() 的真假陷阱
这两个函数不是比较运算符，但常被误当作「非空判断」来用，结果在 "0"、0、false 上翻车。
常见错误现象：
-
empty("0")→true（字符串"0"被判定为空） -
isset($_GET['id']) && $_GET['id'] != ''仍可能漏掉"0" -
!isset($var) || $var === ''才能真正排除未定义和空字符串
使用场景：表单字段校验、API 参数存在性检查。
建议写法：
if (isset($_GET['id']) && is_string($_GET['id']) && $_GET['id'] !== '') { ... }
或更稳妥地用 filter_has_var(INPUT_GET, 'id') + filter_input() 显式过滤。
MD5 哈希值用 == 比较等于开门揖盗
当代码写成 md5($input) == $stored_hash，攻击者只需提交一个 MD5 值以 0e 开头的字符串（如 "240610708"），就能让整个哈希比较失效。
原因：PHP 把 "0e123456..." 这类字符串解析为科学计数法，结果为 0，而另一个 0e... 也被当成 0，于是 "0e123" == "0e456" 成立。
正确做法：
- 永远用
hash_equals($stored_hash, md5($input)) - 避免对哈希值做任何松散比较
- 注意：
hash_equals是时序安全的，还能防侧信道攻击
兼容性：PHP 5.6+ 原生支持；低于此版本需自己实现恒定时间比较逻辑。
PHP 7+ 对十六进制、科学计数法的转换更严格
PHP 5 中 "0x1234" + 1 会转成十进制 4660 + 1；PHP 7 则直接将 "0x1234" 当作非法数字，转为 0 再加 1，结果是 1。
这意味着：同一段依赖字符串转数字的代码，在不同 PHP 版本下行为不一致。
容易踩的坑：
- 用
$_GET['num'] + 1做计算，传入"0x123"或"1e2"时，PHP 5 和 7 结果不同 - JSON 解析后字段类型未校验，
$data->id == 123可能在 PHP 7 下失败（如果 JSON 里是字符串"0x7B"）
解决思路：显式转换 + 类型校验，例如：
$id = filter_input(INPUT_GET, 'id', FILTER_VALIDATE_INT); if ($id === false) { die('invalid id'); }
复杂点在于，弱类型问题从来不是孤立的——它总在输入、转换、比较、输出多个环节叠加发生。最容易被忽略的是：你以为在比字符串，其实 PHP 已经悄悄把它当数字用了。
