extract() 默认 EXTR_OVERWRITE 会静默覆盖同名变量，极不安全；应强制使用 EXTR_SKIP 或 EXTR_PREFIX_SAME，并始终白名单过滤键名。
extract() 会覆盖已有变量，不加控制直接用很危险
它默认行为是 EXTR_OVERWRITE，只要数组里有和当前作用域同名的变量，就会被无声覆盖。比如你写了 $id = 100，又调用 extract(['id' => 200])，$id 就变成 200 了——连 warning 都没有。
常见错误现象：$user_id 原本是登录用户的 ID，结果从 $_POST 或 API 返回里 extract() 进来一个同名字段，后续权限校验就失效了。
- 永远不要对不可信来源（如
$_GET、$_POST、$_REQUEST）直接调用extract() - 函数内使用比全局作用域安全，但依然要防内部变量冲突
- PHP 8.5.5 仍保留该行为，无默认变更
EXTR_SKIP 是最稳妥的默认选项
它跳过所有已存在的变量名，只创建新变量，避免覆盖风险。多数场景下比默认的 EXTR_OVERWRITE 更可控。
使用场景：解析第三方 API 响应、读取配置数组、临时展开一组字段做逻辑处理。
立即学习“PHP免费学习笔记（深入）”；
-
extract($data, EXTR_SKIP)—— 安全底线，推荐写死这个参数 - 如果想明确知道哪些变量被跳过了，可以先用
array_keys(get_defined_vars())对比 - 注意：
EXTR_SKIP不影响非法键名（如数字开头、含空格）的过滤，这些仍会被忽略
用 EXTR_PREFIX_SAME + prefix 避免命名冲突
当你要导入的数组字段可能和现有变量重名，又不想丢弃这些值时，加前缀是最清晰的折中方案。
参数差异：EXTR_PREFIX_SAME 只给「冲突的键」加前缀；EXTR_PREFIX_ALL 给所有键加前缀，适合批量隔离。
示例：
extract(['id' => 123, 'name' => 'Alice'], EXTR_PREFIX_SAME, 'api'); // 若 $id 已存在 → 不创建 $id，而是创建 $api_id // 若 $name 不存在 → 直接创建 $name = 'Alice'
- 前缀和键名之间自动加下划线，
prefix="user"+ 键"id"→ 变量名$user_id - 若加完前缀后变量名不合法（如
$123_id），该变量不会被创建 -
EXTR_PREFIX_SAME在 PHP 4.0.5+ 支持，现代项目完全可用
必须先过滤键名，尤其处理用户输入
extract 不校验键名是否“合理”，恶意构造的键（如 "GLOBALS"、"_SESSION"、"0"、" "）可能触发意外行为甚至变量污染。
性能影响：白名单过滤本身开销极小，远低于 extract 的符号表操作；但跳过这步可能引发严重安全问题。
- 正确做法：
$safe = array_intersect_key($input, array_flip(['id', 'amount', 'address'])); extract($safe, EXTR_SKIP); - 别用
extract($_POST)或extract($_GET)—— 这类写法在 PHP 5.4+ 就被主流框架弃用 - 数字索引数组（如
[1, 2, 3]）默认不会生成变量，除非用了EXTR_PREFIX_ALL或EXTR_PREFIX_INVALID
extract() 出来的变量，出函数就没了；但在全局作用域用，就等于往全局变量池里扔东西——这点不看清，调试时变量突然消失或莫名出现，会浪费大量时间。 
