PHP静态属性在FPM下不跨请求持久化，故安全；而在Swoole等常驻进程模型中，其生命周期延长至进程级，导致状态污染、连接复用、用户上下文泄露等问题。
PHP static 静态属性本身不会“导致”状态污染，但常驻进程模型（如 Swoole）下不重置它，就一定会污染。
为什么 FPM 下不明显，Swoole 下一用就炸
在传统 PHP-FPM 中，每次 HTTP 请求结束，整个进程（包括所有类的静态属性）都会被销毁，self::$counter 从不跨请求存活。而 Swoole 的 Worker 进程常驻内存数小时，static $conn、static $cache、static $userContext 全部保留——前一个用户登录写入的 $_SESSION 数据，可能被下一个请求直接读出。
- FPM：静态属性生命周期 = 单次请求 → 安全假象
- Swoole/CLI：静态属性生命周期 = 进程存活期 → 污染温床
- 哪怕只是
static $requestId = 0; public static function next() { return ++self::$requestId; }，第 10000 次请求就会返回 10000，且所有协程共享这个值
static 属性不是“全局变量”，但效果比全局还危险
它属于类作用域，子类不自动共享，这点常被误判为“隔离”。但问题在于：你写的 DB::getConnection() 很可能在 MySQL 和 PostgreSQL 子类里各自维护一份 $conn，而你以为它们是同一个池；更糟的是，你在中间件里调了 Auth::setUser($u)，把用户对象塞进 static $currentUser，后续所有请求都复用这个对象，哪怕它已过期或权限变更。
- 子类继承静态属性 ≠ 共享同一份数据 → 实际是独立副本（
MySQL::$conn≠PgSQL::$conn） - trait 中的
static $count被两个类 use 后，各自有一份 → 看似“复用代码”，实则“复制状态” - 初始化不能调函数：
static $ts = time();直接报错，只能= null或字面量 → 导致你想存启动时间都得绕路
哪些场景最容易踩坑
不是“用了 static 就错”，而是这些模式几乎必然引发污染：
立即学习“PHP免费学习笔记（深入）”；
- 用
static $db存 PDO/Redis 连接句柄 —— 连接超时、断连后仍被复用，抛Connection lost - 在
onRequest回调里调User::login($id)，内部写self::$currentId = $id—— 下个请求没调 logout 就直接拿到上个用户的 ID - 静态方法里 new 实例却不释放：
public static function process($data) { $worker = new HeavyWorker(); return $worker->run($data); }——$worker的私有状态（如缓存、计数器）可能残留 - 依赖
__get/__set拦截静态访问 ——static::不触发魔术方法，self::也进不去，直接报错或静默失败
怎么写才不容易翻车
核心原则：**静态属性只用于真正与类定义强绑定、且绝对无状态依赖的值。** 比如配置开关、版本号、枚举映射表。
- 连接、上下文、用户态、计数器、缓存 → 全部改用请求/协程局部存储：
Co::getContext()或中间件中显式传参 - 必须用静态缓存？加 TTL + 主动清理：
if (self::$cache && time() - self::$cacheTime ，并在 <code>onRequest开头重置self::$cache = null - 单例类必须提供
resetForRequest()方法，并在每次请求入口强制调用 —— 别指望开发者自觉 - PHP 8.2+ 优先用
readonly class替代“靠约定维护不可变性”的静态工具类
最隐蔽的污染点从来不是 static $data 本身，而是你忘了它在常驻进程里根本不会消失 —— 它不报错，只是悄悄把 A 用户的数据塞给 B 用户，直到监控告警响了才去翻日志。
