compact() 接收变量名字符串而非变量本身，错误写法如 compact($name) 会触发未定义变量警告；extract() 会覆盖已有变量且不校验输入，PHP 8.0+ 已标记为不推荐；二者非镜像互逆，应优先使用显式构造和类型约束替代。
compact() 传变量名字符串，不是变量本身
常见错误是写成 compact($name, $age) —— 这会触发 Warning: compact(): Undefined variable。因为 compact() 只接受变量名字符串（如 'name'），它内部靠 get_defined_vars() 查当前作用域里有没有同名变量。
正确写法只有两种：
-
compact('name', 'age', 'city')—— 显式传字符串列表 -
$keys = ['name', 'age']; compact(...$keys)—— PHP 5.6+ 支持展开，但数组元素仍必须是字符串
动态拼接的变量名（比如 $field = 'user_' . $id）必须先确保该变量已定义，再传 compact($field)；否则返回空数组，且无任何警告。
extract() 会覆盖已有变量，且不校验输入来源
extract() 把数组键值转为同名变量，但不会跳过已存在的变量 —— 它默认直接覆盖。如果传入的是用户可控数据（如 $_POST、parse_url() 失败返回的 false），就会引发变量污染或 Warning: extract() expects parameter 1 to be array。
立即学习“PHP免费学习笔记（深入）”；
典型风险场景：
- 用
extract($_GET)或extract($_POST)，攻击者可传?authorized=1绕过鉴权 - 未检查
parse_url($url)返回值就直接extract(parse_url($url))，当 URL 格式错误时传入false，触发警告 - 没设白名单，
extract($config)可能覆盖关键函数局部变量（如$pdo、$debug）
PHP 8.0+ 已将 extract() 标记为 “不推荐”，不是因为它不能用，而是它天然缺乏约束力。
compact() 和 extract() 不是镜像互逆操作
很多人以为 compact() → extract() 是安全对称的“打包/解包”，其实不是：
-
$a = null; compact('a')返回['a' => null]，但extract(['a' => null])不会把$a设为null（取决于extract_type，默认不处理null值） -
compact()是单向、只读、安全的封装；extract()是双向、写入、有副作用的操作 - 二者语义完全不同：
compact()常用于 API 返回、日志上下文；extract()多见于老旧模板渲染，现代框架基本弃用
别为了“代码看起来整齐”硬凑这对组合，多数时候只是增加调试难度和维护成本。
更安全的替代方案：显式构造 + 类型约束
当变量来源不可控、数量不确定、或需类型/结构保障时，compact() 就不该用：
- API 返回建议直接写
return ['title' => $title, 'content' => $content]，明确字段意图，IDE 和静态分析工具也能识别 - 模板传参用
view('post', ['post' => $post, 'user' => $user])，比compact('post', 'user')更易追踪、更易加注释 - 需要动态字段时，先用
array_key_exists()或isset()检查变量是否存在，再手动构建数组，避免静默丢键 - 配置加载、表单处理等场景，优先用 DTO 类或
array_filter($input, 'is_string')等过滤手段，而不是依赖extract()
真正容易被忽略的点是：compact() 的静默忽略机制在开发期很难暴露问题，往往到线上才发现字段缺失却无报错 —— 它不保证完整性，只保证“尽力而为”。
