is_numeric() 实际判断值能否被PHP当作数字使用，而非是否为干净十进制字符串；它接受十六进制、八进制、二进制字面量，容忍前后空格及科学计数法，不区分纯数字与前导数字字符串，且无类型、精度、范围控制，校验用户输入时应优先使用filter_var或正则组合。
PHP 的 is_numeric() 看似简单，实则容易误判。它不是在判断“是否为干净的十进制数字字符串”，而是在回答“这个值能否被 PHP 当作数字来用”——范围远比你想象中宽。
会把非十进制写法当成数字
它认可十六进制（"0x1A"）、八进制（"0123"）、甚至二进制字面量字符串（"0b1010"）为合法数字。虽然这些在 PHP 代码中确实是数值字面量，但用户输入里出现 "0xFF" 或 "0b1100"，大概率是误输或恶意绕过，不该被当作有效数字通过校验。
对空格和科学计数法毫无抵抗力
带前后空格的字符串如 " 42 "、"-3.14 " 全部返回 true（PHP 8.0+ 支持尾部空格）；科学计数法如 "1e5"、"2.5E-3"、甚至 "0E1"（等于 0）也都算“数字”。这在表单验证年龄、ID、价格时极危险——用户根本不会输入 "1e3" 表示“1000”，但系统却放行了。
会误认“前导数字字符串”
注意：is_numeric("123abc") 返回 false，但它对 "123a" 的判断在某些旧版本或弱上下文中可能有歧义；更关键的是，它不区分“纯数字字符串”和“以数字开头的混合字符串”。虽然当前主流版本已严格要求**整个字符串**必须符合数字格式才返回 true，但开发中仍需警惕历史兼容性或与其他函数（如 intval()）混用时的隐式截断行为。
立即学习“PHP免费学习笔记（深入）”；
无法区分类型意图，且无精度/范围控制
is_numeric() 不告诉你这个字符串转成整数会不会溢出，也不管它是不是浮点数。比如 "999999999999999999999" 虽然被判定为 numeric，但转成 int 可能变成 PHP_INT_MAX；"123.4567890123456789" 会被当作 float，但精度早已丢失。它只做“语法识别”，不做“语义校验”。
真正需要校验用户输入时，应优先用 filter_var($str, FILTER_VALIDATE_INT) 或 FILTER_VALIDATE_FLOAT，并配合 filter_var($str, FILTER_SANITIZE_NUMBER_FLOAT) 清洗；若需更严苛匹配（如禁止科学计数法），正则 /^[+-]?\d+(\.\d+)?$/ 加 ctype_digit() 组合更可控。别让 is_numeric() 成为你校验逻辑里的“信任入口”。
