is_numeric()不等价于“纯数字字符串”，它会将"404a"、"0x1A"、"1e3"等识别为数字；==比较时PHP会隐式转换字符串为数字，如"404a"转为404，导致绕过校验；应使用ctype_digit()或正则/^\d+$/校验纯数字字符串，关键逻辑须用===严格比较。
is_numeric() 不等于「纯数字字符串」，== 比较会触发隐式类型转换，很多你以为在比字符串的地方，PHP 已经悄悄转成数字在算了。
is_numeric() 为什么拦不住 "404a"
is_numeric() 返回 true 的不只是 "123" 这种干净数字，还包括："0x1A"（十六进制）、"1e3"（科学计数法）、" 42 "（带空格）、甚至 "404a"（开头是数字，后面跟字母）——它只看「能否被解释为数字」，不关心后续字符。
- 常见错误场景：用
if (!is_numeric($_POST['id'])) die();做参数校验，结果攻击者传"123abc"仍能通过，后续==比较时被截断为123 - 真正要检查「纯十进制数字字符串」，该用
ctype_digit()（注意：它不接受负号、空格、前导零） - 若需支持负数或前导零（如 ID 字符串
"007"），应改用正则/^\d+$/或先trim()再判断
== 比较字符串和数字时，PHP 在偷偷做啥
只要一边是数字（int/float），另一边是字符串，== 就强制把字符串转成数字再比。转换规则极简粗暴：
- 字符串以数字开头 → 取连续数字部分，
"123abc"→123 - 字符串不以数字开头 → 直接变成
0，"abc123"→0 - 含科学计数法 → 按数值解析，
"0e999"和"0"都是0，所以"0e999" == "0"为true - 八进制陷阱：数字字面量
08、09是非法八进制，在松散比较中常被当0处理，导致"08" == 08实际是8 == 0
strcmp() 看似安全，但返回值容易用错
strcmp() 是二进制安全的字典序比较，但它**不返回布尔值**，而是返回整数：0 表示相等，负数/正数表示大小关系。最常见错误是写成 if (strcmp($a, $b)) —— 这等价于「只要不相等就进分支」，完全反了。
- 必须用严格比较判断返回值：
if (strcmp($a, $b) === 0) - 区分大小写需求明确时才用
strcmp()；若需忽略大小写，直接上strcasecmp() - 想比前 N 个字符？用
strncmp($a, $b, 5)，别手动substr()再比，避免中文截断乱码 - 注意：所有
str*函数都要求参数是字符串，传入null或数组会警告或报错
什么时候该放弃 ==，直接上 ===
几乎所有用户输入参与的判断，都该默认用 ===。不是因为 == 有 bug，而是它把「类型意图」藏得太深。
立即学习“PHP免费学习笔记（深入）”；
- 表单提交的
$_POST['age']是字符串，if ($_POST['age'] == 0)会把"0"、""、"false"全判为 true -
switch语句里用字符串匹配数字 case，比如case 1:，而输入是"1"—— 松散匹配会让"1"、"01"、"1.0"全部命中 - 配置项或状态码这类「语义化字符串」，如
"active"、"pending"，永远不该被当数字处理
真正难缠的不是转换逻辑本身，而是它发生在你没意识到的地方——比如一个中间函数悄悄把字符串转成了 int，下游用 == 一比，结果就偏了。守住类型边界，比搞懂所有转换规则更可靠。
