PHP三元运算符?:左结合，必须加括号显式分组以防逻辑错乱；??仅判null/未定义，更安全设默认值；多分支优先用if-else或PHP 8+ match。
多个三元运算符必须加括号分组
PHP 的 ?: 是左结合的，不加括号时嵌套逻辑极易错乱。比如 $a ? $b : $c ? $d : $e 实际等价于 ($a ? $b : $c) ? $d : $e，而不是你脑内想的 $a ? $b : ($c ? $d : $e)。这种隐式结合顺序在复杂条件里几乎必然导致 bug。
- 所有嵌套层级都必须用括号显式包裹：例如
$res = $x > 10 ? 'high' : ($x > 5 ? 'mid' : 'low'); - 哪怕只嵌一层，也建议括号——
($score >= 90) ? 'A' : 'B'比$score >= 90 ? 'A' : 'B'更易读、更少歧义 - 括号不是可选的“风格”，是防止解析偏差的必要手段
别用 ?: 替代 ?? 处理默认值
很多人写 $name = $_GET['name'] ?: 'guest'; 来设默认值，但这个表达式会在 $_GET['name'] 是 0、''、false 时也 fallback，造成逻辑错误（比如用户昵称是 "0" 被当成空）。
- 要用
??判断「是否存在且非 null」：$name = $_GET['name'] ?? 'guest'; -
??不做强转，只看isset()语义，和?:的真假值判断完全不是一回事 - 链式
??安全又清晰：$val = $a ?? $b ?? $c ?? 'default';
输出动态内容前必须转义，不能靠三元“省事”
模板里常见这种写法：echo "Hello, " . ($_GET['name'] ? $_GET['name'] : 'Guest'); ——如果 $_GET['name'] 是 <script>alert(1)</script>，就直接 XSS 了。
- 三元只是控制“选哪个值”，不负责安全过滤；输出前该转义还得转义
- 正确做法是先过滤再三元，或三元结果统一走
htmlspecialchars()：$name = htmlspecialchars($_GET['name'] ?? 'Guest', ENT_QUOTES, 'UTF-8'); - 别把「简洁」和「跳过校验」混为一谈
三个以上分支优先用 if-else 或 match，别硬塞三元
写成 $status = $code == 200 ? 'ok' : $code == 404 ? 'not found' : $code == 500 ? 'server error' : 'unknown'; 看似一行搞定，实际维护成本极高。
立即学习“PHP免费学习笔记（深入）”；
- 超过两个分支，可读性断崖下跌；调试时没法单步进每个条件分支
- PHP 8+ 推荐用
match表达式替代：$status = match($code) { 200 => 'ok', 404 => 'not found', 500 => 'server error', default => 'unknown' }; - if-else 在需要执行函数调用、日志、状态更新等副作用时，仍是唯一可靠选择
