动态调用的核心是安全可控，需校验方法存在性与可访问性，推荐白名单机制和PHP 7.2的object类型提示配合strict_types。
PHP 7.2 中在框架里动态触发方法，核心不是“能不能”，而是“怎么安全、可控、可维护地做”。直接拼字符串调用或裸用 call_user_func 很容易踩坑——比如方法不存在、权限失控、参数错位、甚至远程代码执行（RCE）。
动态调用必须校验方法存在性和可访问性
框架中方法名往往来自路由、配置或用户输入（如 $_GET['action']），不加检查就调用等于开门揖盗。
- 永远先用
method_exists($obj, $methodName)判断实例方法是否存在（注意：它不检查private方法） - 若需支持
protected或private，得配合反射：(new ReflectionMethod($obj, $methodName))->isPublic() - 对控制器类，建议白名单机制：只允许调用以
Action结尾的方法，或显式定义$allowedMethods = ['indexAction', 'showAction'] - 别依赖
is_callable—— 它对未实例化的类名 + 非静态方法会返回true，但实际调用仍报错Class name must be a valid object or a string
用 -> 还是 call_user_func？看场景
两者不是替代关系，而是分工明确：
- 已知对象实例 + 方法名变量 → 直接用
$obj->$methodName(...)，最轻量、IDE 友好、性能最好 - 参数是数组（如从 JSON 配置读取的
["id" => 123, "force" => true]）→ 必须用call_user_func_array([$obj, $methodName], $args)；用call_user_func会把整个数组当第一个参数传进去 - 要统一处理静态/实例方法分发（如路由映射到
Controller::handle()或$ctrl->run()）→ 用call_user_func更灵活，但得手动区分：is_string($target) && strpos($target, '::') !== false才走静态
PHP 7.2 的 object 类型提示能帮你守住底线
如果你的框架方法接收控制器实例作为参数（比如中间件、装饰器），PHP 7.2 的 object 类型提示能提前拦截非对象传入：
立即学习“PHP免费学习笔记（深入）”；
function dispatchToController(object $controller, string $action): void
{
if (!method_exists($controller, $action)) {
throw new BadMethodCallException("Method {$action} not found");
}
$controller->$action();
}
搭配 declare(strict_types=1)，传入 null 或字符串会立刻抛 TypeError，而不是等进方法体才崩。这比手写 if (!is_object($controller)) 更可靠、更自文档化。
最容易被忽略的点：动态调用不等于放弃封装
框架里动不动就 $ctrl->{$action}() 看似方便，但一旦 $action 来自外部输入，__destruct、__wakeup 甚至魔术方法都可能被意外触发。真正健壮的做法是：把动态分发逻辑收口到一个受控的入口（如 Controller::execute(string $action)），内部用白名单 + 显式 switch 或映射表，而不是把“反射”和“变量方法调用”散落在各处。PHP 7.2 没给动态调用加新语法，但它给了你更硬的类型护栏——用好 object 和 strict_types，比研究怎么绕过限制更重要。
