优先在数据库层用WHERE过滤，而非PHP的array_filter，因能减少传输量、内存占用和遍历开销，并配合PDO预处理天然防SQL注入；仅当数据量小且已安全限定范围时，才可在PHP层二次筛选。
数据库查询结果的过滤，**优先在数据库层完成**。不是“能不能在PHP里做”，而是“为什么不该在PHP里做”。
为什么必须优先用 WHERE 而不是 array_filter
把数据全查出来再用 array_filter 筛选，等于让数据库干了 100 分的活，你只用其中 2 分——浪费网络带宽、内存、数据库连接时间，还放大了 SQL 注入风险（因为可能绕过预处理逻辑）。
- MySQL 查 10 万行返回 5 行：网络传输量大、PHP 内存占用飙升、
array_filter遍历耗时不可控 - WHERE 条件下推到数据库：索引能命中、结果集小、传输快、PDO 预处理天然防护
- 例外场景极少：比如要按 PHP 自定义函数（如
levenshtein()）模糊匹配，才考虑查出后过滤
PDO 预处理 + WHERE 是标准安全组合
写 SQL 时把动态条件塞进 WHERE，再用 PDO 绑定参数，这是最简、最稳、最防注入的做法。别试图拼接字符串或用 filter_var “清洗”后再拼 SQL。
- 正确：
$stmt = $pdo->prepare("SELECT * FROM users WHERE status = ? AND created_at > ?")，然后$stmt->execute([$status, $since]) - 错误：
"SELECT * FROM users WHERE status = '" . $_GET['status'] . "'"—— 即使加了filter_var($_GET['status'], FILTER_SANITIZE_STRING)也不行 -
FILTER_SANITIZE_STRING已被弃用，且不能替代参数绑定；它只是删字符，不解决语义解析问题
PHP 层过滤只适用于“已确认安全的小数据集”
如果数据库已用 WHERE 精确缩小范围（比如只查出当前用户 20 条订单），再在 PHP 里按状态、时间格式、权限字段二次筛选，是可以的——但前提是：数据量可控、无敏感逻辑、不暴露原始结构。
立即学习“PHP免费学习笔记（深入）”；
- 适合：
array_filter($orders, fn($o) => $o->is_paid && $o->amount > 100) - 不适合：对未分页的
SELECT *结果做array_filter，尤其含用户输入字段（如title、content） - 注意：
array_filter不自动转义输出，渲染到 HTML 前仍需htmlspecialchars()
真正容易被忽略的点是：很多人以为“用了 filter_var 就安全了”，其实只要没走预处理 + WHERE，SQL 注入漏洞就还在。数据库过滤不是可选项，是默认动作。
