1. 这份二星级练习卷到底考什么先聊点背景。这两年我一直在带PHP方向的新人也负责团队的技术面试。时间久了就发现一个问题很多简历上写着“精通PHP”但真让写一段处理数组的代码能一次写对的人不到三成。写CRUD接口倒是很溜一问到错误处理、事务回滚、类型转换这些基本功就开始支支吾吾。与其每次面试都临时找题不如自己整理一套能综合考察PHP工程师真实水平的练习卷这个二星级的版本就是其中之一。这套卷子定位很明确适合有半年到两年实际开发经验的PHP工程师用来自查基础是否扎实也适合准备跳槽面试的人拿来系统复习。为什么叫“二星级”我习惯把工程师能力分成三个档位一星级能看懂代码会查手册能照着现成模板改功能。二星级能独立设计模块理解语言特性背后的原理知道常见坑在哪里写出来的代码有基本的健壮性和安全意识。三星级能主导架构设计做性能优化解决疑难杂症有自己的一套最佳实践。这套卷子核心就是卡在二星级这个段位不讲花哨的架构不考冷门的源码所有题目都是日常开发中真实会遇到的场景。做完这套题能暴露你在基础知识、面向对象、错误处理、数据库操作、安全规范这五个方面的薄弱环节。卷子按照五大板块来划分基础语法与函数、面向对象设计、错误处理与异常、数据库与PDO、安全与框架认知。每个板块的题目都不是单纯考记忆而是把知识点埋进业务场景里考察你能不能把知识用出来。接下来我把每个板块的设计思路和核心考点逐个拆开讲。2. 基础语法与函数看似简单实则陷阱多2.1 运算符与类型比较PHP史上最大的“坑王”基础语法板块里最值得说道的就是类型比较。PHP是弱类型语言这种设计让入门门槛低但也埋了不少隐患。很多老工程师都在这上面栽过跟头我在卷子里专门放了几道比较题。先看最经典的一道var_dump(abc 0); var_dump(abc 0);在PHP 7及更早版本里abc 0的结果是true因为比较时会把字符串转成数字非数字开头的字符串转型结果是0。到了PHP 8这个行为改了字符串和数字比较时会先尝试把字符串转成数字转不了就直接返回false所以PHP 8里结果是false。这就是为什么很多老项目升级到PHP 8之后突然冒出一堆诡异的bug很多都是比较运算导致的。再看另一个高频考点$num 0; var_dump(empty($num)); // true var_dump(isset($num)); // true var_dump(is_null($num)); // false这里考察的是empty、isset、is_null三个函数的区别。empty判断变量是否为空0、、0、null、false、空数组、未定义变量都会被判定为空isset判断变量是否存在且不为null所以变量值为0时返回trueis_null只判断是否为null。我见过不少人用empty去判断用户提交的表单值是否为0结果数字0被当作空值处理接口逻辑直接跑偏。还有个PHP 8引入的变化也值得注意字符串函数家族多了几个成员str_starts_with($str, prefix); str_ends_with($str, suffix); str_contains($str, needle);以前判断字符串是否包含某个子串得用strpos($str, needle) ! false现在直接用str_contains就好语义更清晰也不容易漏掉! false这个判断。卷子里有一道题就是让候选人判断一段代码的输出其实就是在考察这些新函数是否用熟了。2.2 数组与字符串这些函数你真的用对了吗数组操作是PHP日常开发里最高频的场景卷子里有一道综合题很能看出功底的扎实程度。$data [ [name 张三, score 82], [name 李四, score 95], [name 王五, score 67], ]; // 要求按score降序排序然后提取所有人的name组成新数组最直观的做法是写个自定义排序回调usort($data, function($a, $b) { return $b[score] $a[score]; }); $names array_column($data, name);这里有两个关键点usort配合太空船操作符做排序可比手写if ($a $b) return -1;这类代码简洁多了array_column能从二维数组里直接提取指定键的值一行搞定。如果这两函数用得不够熟往往会把简单问题复杂化。再来看字符串处理的经典题$str PHP工程师综合练习卷; echo substr($str, 0, 5); echo mb_substr($str, 0, 5);substr是按字节截取中文字符在UTF-8编码下占3个字节substr($str, 0, 5)会把第2个汉字切半输出乱码。mb_substr是多字节安全的按字符截取能正确输出前5个字符。这道题的考点不是“会不会用mb_substr”而是“知不知道什么时候必须用mb_substr”。凡是处理用户输入、文案展示、文件名等可能包含中文的场景一律用mb_系列函数。卷子里还考了array_map、array_filter、array_reduce这三个函数的区别array_map对每个元素做相同变换返回新数组不改变原数组。array_filter按条件过滤元素返回满足条件的元素支持回调返回false时剔除。array_reduce用回调函数迭代归约数组最终得到一个值。这三个函数放在一起考不是因为它们有多难而是因为很多人会把它们搞混。数组操作的核心思路就一句话能用内置函数解决的问题就不要自己写循环。内置函数经过大量优化性能更好代码可读性也更强。2.3 函数使用的经验之谈做这套卷子的时候我建议大家不要只看答案对不对重点看自己的思考过程。看到数组排序题第一反应是写foreach循环自己排还是条件反射般想到usort看到字符串截取第一反应是substr还是mb_substr这个反应速度基本就代表了你日常写代码的习惯。基础语法板块的题目不需要死记硬背函数签名但要记住几个原则优先使用内置函数不重复造轮子。涉及中文、多字节字符统一走mb_系列。PHP 8的新语法特性要主动去用比如匹配表达式match、空安全操作符?-、构造器属性提升这些都能让代码更简洁。另外提一下date函数的坑。很多老代码里写date(Y-m-d)在PHP 5.4之前这样写会报警告需要配date.timezone。现在新版PHP默认时区是UTC如果你在中国直接用date(Y-m-d H:i:s)得到的时间会比北京时间慢8个小时。正确做法是在入口文件或配置里设置date_default_timezone_set(Asia/Shanghai);这类问题在题目里不会直接考但我会在后面的实操题里埋一个伏笔结合时间戳算出“本月第一天”和“本月最后一天”。能答对的人基本都对日期函数有完整认知。3. 面向对象设计从会用到会设计3.1 接口、抽象类、普通类三选一怎么选面向对象这块理论知识大家都学过但真正到设计层面就露馅了。卷子里有一道设计题给一个支付场景现在需要对接支付宝、微信支付、银联三种支付方式每种支付方式的接口签名不一样但都有“发起支付”和“查询订单”两个动作。请设计类结构。多数人的第一版答案是写三个类各自实现。这能用但扩展性很差。如果再接入第四种支付方式呢改动面会很大。更好的方案是定义一个统一接口interface PaymentInterface { public function pay(array $orderInfo): array; public function query(string $orderNo): array; }三个支付类分别实现这个接口。业务层只依赖PaymentInterface不关心底层是哪个支付渠道。这就是面向接口编程的核心思想。卷子里考这道题不是为了让你背设计模式而是看你在实际设计类结构时有没有这个意识。抽象类和接口的区别也是高频考点接口是对行为的抽象强调“能做什么”一个类可以实现多个接口。抽象类是对一类事物的抽象强调“是什么”可以包含属性、可以包含具体实现一个类只能继承一个抽象类。实际设计时的判断标准很简单如果多个类有共同的行为约定但没有公共代码可复用用接口如果多个类要复用同一段公共逻辑并且这个逻辑有默认实现用抽象类。我建议的惯性做法是能接口优先接口因为Java里也只能 implements 多个接口、extends 一个类PHP也遵循类似的单继承模型接口保留了更多扩展空间。3.2 静态方法和实例方法别把静态方法当大箩筐设计题之外我还出了一道判断题下面这段代码的问题在哪class OrderService { public static function createOrder($data) { // 创建订单逻辑 } public static function getUserInfo($orderId) { // 查询用户信息 } }问题在于全部方法都定义成静态方法类变成了一个函数收纳盒。虽然调用方便但没法做依赖注入不好写单元测试代码耦合度高。静态方法适合无状态操作比如格式转换、校验工具类、单例模式的获取方法。一旦涉及状态管理、依赖其他服务就应该用实例方法。卷子里也考了一道关于魔术方法的题“当访问一个不存在或不可访问的属性时PHP会调用哪个魔术方法如果调用不存在的方法呢”答案分别是__get和__call。这两个方法在框架里很常见比如Laravel的Eloquent模型就是用__get实现属性访问的。3.3 依赖注入让代码可测试的关键二星级工程师需要具备的面向对象设计能力不只是会用class和extends更重要的是理解依赖关系如何管理。卷子里有一个小的场景题class UserController { private $userService; public function __construct(UserService $userService) { $this-userService $userService; } }这个就是构造函数注入。相比直接new UserService()构造函数注入的好处是依赖从外部传入可以轻松替换为Mock对象测试起来非常方便。现代PHP框架Laravel、ThinkPHP 6、Symfony都内置了依赖注入容器你在控制器构造函数里声明类型容器会自动解析并注入实例。这段代码能看懂说明你对框架的运作机制有了基础的认知。面向对象板块的实操建议拿着这段设计题自己动手写一遍完整代码。写完再想想如果要增加一种支付方式需要改哪些文件如果改动范围只限定在新增一个类文件说明你的设计合格了。4. 错误处理与异常机制区分“出错了”和“崩溃了”4.1 认识PHP的“错误级别”家族错误处理这块是很多PHP工程师最薄弱的地方。不少人的代码里遇到问题就var_dump一把梭线上环境还把display_errors开着把报错信息直接怼给用户。这些都是需要纠正的坏习惯。先看PHP的错误级别。卷子里的基础题是让你写出E_ERROR、E_WARNING、E_NOTICE、E_DEPRECATED分别代表什么含义E_ERROR致命错误程序终止执行。比如调用不存在的函数、内存耗尽。E_WARNING警告程序继续执行但结果可能不正确。比如包含文件失败、函数参数类型错误。E_NOTICE提示程序继续执行通常是代码可能存在不规范的地方。比如使用未定义的变量。E_DEPRECATED弃用提示代码使用了未来版本将移除的特性。这几个级别的区分比很多人想象的重要。我见过线上事故就是因为E_WARNING没被捕获日志里刷了成千上万条警告把磁盘撑满了数据库连接跟着全挂掉。所以平时开发时建议把error_reporting(E_ALL)开着让所有错误都暴露出来开发环境能看到问题别藏着掖着。PHP 8开始很多原本的E_WARNING升级成了Error异常比如访问未定义属性、函数参数数量不对都会直接抛出Error。这是一个大趋势PHP正在逐步从“报个警告继续跑”转向“抛异常终止执行”。4.2 自定义错误处理和异常捕获卷子里有一道实操题要求写一个自定义错误处理函数把错误转为异常set_error_handler(function($level, $message, $file, $line) { throw new ErrorException($message, 0, $level, $file, $line); }); try { // 业务代码 $fp fopen(not_exist.txt, r); } catch (ErrorException $e) { echo 捕获到错误: . $e-getMessage(); }这道题的用意是让候选人理解set_error_handler和异常机制的区别。try-catch只能接住自定义异常和PHP 8以后的部分Engine异常但老版本里PHP的“错误”Warning、Notice不会自动变成异常。用set_error_handler做一次转换就能统一异常处理逻辑这段代码在日常开发中非常实用尤其是在写框架底层的时候。再补一个set_exception_handler的典型用法生产环境的全局兜底set_exception_handler(function($throwable) { // 记录日志 error_log($throwable-getMessage(), 3, /var/log/php_error.log); // 返回友好提示 http_response_code(500); echo json_encode([code 500, msg 服务器内部错误]); });这样任何未被捕获的异常都会走统一出口不会把堆栈信息直接暴露给用户。4.3 日志规范排查问题的第一手证据错误处理部分我还配了一道开放题“线上代码出现bug但没有开启日志你怎么排查”正确答案不是“看代码”而是“先保证有日志可看”。实际开发中我强烈建议用框架自带的日志组件比如Monolog按照日期、级别分类存储。同时注意两个原则业务日志和错误日志分开存储业务日志记录操作行为错误日志只记录异常。日志必须包含上下文不只是一个错误消息要有请求URL、用户ID、参数摘要、堆栈信息。try { // 业务代码 } catch (\Exception $e) { Log::error(订单创建失败, [ order $orderData, user_id $userId, error $e-getMessage(), trace $e-getTraceAsString(), ]); }很多人只记$e-getMessage()遇到同样的错误不知道是哪个用户、哪个参数触发的。把上下文补上排查效率能翻几倍。这套卷子里如果有一条最能让你赚回票价的经验就是养成这个记录上下文的习惯。5. 数据库操作与PDO连接、预处理与事务5.1 为什么要用预处理语句数据库操作是PHP开发的重头戏卷子在这里花了很大篇幅。第一道题问的是用PDO连接MySQL查询用户表里年龄大于25的用户怎么写$dsn mysql:host127.0.0.1;dbnametest;charsetutf8mb4; $pdo new PDO($dsn, root, password, [ PDO::ATTR_ERRMODE PDO::ERRMODE_EXCEPTION, PDO::ATTR_DEFAULT_FETCH_MODE PDO::FETCH_ASSOC, ]); $stmt $pdo-prepare(SELECT * FROM users WHERE age :age); $stmt-execute([:age 25]); $users $stmt-fetchAll();这里的核心考点是预处理语句。为什么不能用字符串拼接SQL举一个最经典的注入例子$id $_GET[id]; $sql SELECT * FROM users WHERE id {$id};如果用户传入id1 OR 11整张表的数据都被查出来了。如果传入id1; DROP TABLE users;后果更严重。预处理语句的原理是SQL模板先发给数据库编译参数后发参数永远只是数据不会被解析成SQL代码。相当于SQL是把“带空格的填空卡”先交给数据库参数再填进空里数据库知道这些空里只能是内容不是代码。使用PDO时还有两个配置必须注意。第一个是PDO::ATTR_ERRMODE设为PDO::ERRMODE_EXCEPTION这样SQL出错时会抛出异常而不是返回false可以被try-catch捕获。第二个是字符集必须显式指定utf8mb4不然遇到emoji表情和生僻字会保存失败。5.2 事务处理同一时间只保证订单不出错数据库板块有一道综合业务题用户下单需要扣库存、生成订单、扣减账户余额这三个操作必须全部成功或全部失败怎么实现标准答案是事务try { $pdo-beginTransaction(); // 1. 扣减库存 $stmt $pdo-prepare(UPDATE products SET stock stock - 1 WHERE id ? AND stock 0); $stmt-execute([$productId]); if ($stmt-rowCount() 0) { throw new Exception(库存不足); } // 2. 生成订单 $stmt $pdo-prepare(INSERT INTO orders (order_no, user_id, amount) VALUES (?, ?, ?)); $stmt-execute([$orderNo, $userId, $amount]); // 3. 扣减余额 $stmt $pdo-prepare(UPDATE users SET balance balance - ? WHERE id ? AND balance ?); $stmt-execute([$amount, $userId, $amount]); if ($stmt-rowCount() 0) { throw new Exception(余额不足); } $pdo-commit(); } catch (Exception $e) { $pdo-rollBack(); // 记录日志、返回错误 }这道题能筛掉很多人因为三个动作连着写简单但把事务边界放在哪、哪些操作放在事务里、rowCount()怎么用来判断影响行数、什么时候回滚这些细节才是真正的考点。关键点在于扣减库存的SQL里加了AND stock 0条件再配合rowCount()判断影响行数。这比先查询库存再比较更安全避免了并发场景下的超卖问题。数据库的原子性操作能在一个SQL里完成判断和更新就不要拆成两步。事务里还有个大坑叫“隐式提交”。ALTER TABLE、CREATE TABLE、DROP TABLE这些DDL语句都会隐式提交当前事务把事务断成两截。另外ThinkPHP这类框架里Model::save()如果内部对同一连接执行了DDL操作也会影响事务。写代码时要注意事务内只放DML语句增删改查不要把DDL塞进来。5.3 连接池与性能意识PDO这块我额外补充一个连接池的概念。PHP每次请求结束数据库连接就释放了天然就是“连接断开”模型这也是PHP容易高并发的短板之一。二星级工程师可以不用实现连接池但要明白Swoole、Workerman这类常驻内存方案是为解决什么问题而存在复用连接、减少TCP握手和认证开销。卷子里有一道概念题“PHP-FPM每次请求都会新建数据库连接吗连接能不能复用”理解这个问题的工程师才能在生产环境里真正定位数据库压力来源。没有连接池的PHP下500 QPS就可能让MySQL连接数打到几百上千正确做法是通过中间件如ProxySQL或改用Swoole常驻方案分摊连接压力。6. 安全与框架基础安全意识必须内化6.1 三大安全防线XSS、CSRF、SQL注入安全板块的题目不多但每一道都直击要害。第一道是综合场景题一个用户评论功能用户在输入框里提交了scriptalert(xss)/script评论保存后展示给所有用户会发生什么答案是存储型XSS攻击。浏览器会执行这段脚本恶意代码可以窃取用户的Cookie、篡改页面内容、发起恶意请求。防御方法很简单// 输出时转义 echo htmlspecialchars($comment, ENT_QUOTES, UTF-8);第二个必考题是CSRF跨站请求伪造。攻击者诱导用户访问一个恶意页面这个页面自动向你的网站提交一个“修改密码”的请求浏览器会自动带上用户的Cookie请求看起来完全合法。防御思路是在表单里塞一个随机token服务端校验token是否匹配。$_SESSION[csrf_token] bin2hex(random_bytes(32)); // 表单里输出 input typehidden namecsrf_token value{$csrf_token} // 提交时校验 if ($_POST[csrf_token] ! $_SESSION[csrf_token]) { die(非法请求); }第三道题就是SQL注入。除了上节说的预处理方案还有一个原则永远不要信任外部输入。所有用户提交的数据都默认不可信这是做安全的底层心态。6.2 文件上传的边界不止是后门文件上传类的题目在面试题雷达里很常见卷子里也出了一道实现一个文件上传接口要求只允许jpg、png、gif格式怎么做很多人的答案是检查扩展名if (in_array($ext, [jpg, png, gif])) { // 保存文件 }这个检查很快就会被绕过构造一个shell.php.jpg的文件名或者上传一个内容为PHP代码的图片文件配合解析漏洞直接getshell。比较严格的方案是$finfo new finfo(FILEINFO_MIME_TYPE); $mime $finfo-file($_FILES[file][tmp_name]); $allowedMime [image/jpeg, image/png, image/gif]; if (!in_array($mime, $allowedMime)) { throw new Exception(不支持的图片格式); }不要用扩展名用文件内容真实判断MIME类型。另外文件存储时自己生成文件名不要用用户原始文件名避免路径穿越和特殊字符问题。文件保存在web根目录之外的目录通过程序读取并输出可以做到不暴露可执行脚本路径。6.3 框架认知不止是会用要知道底层怎么回事最后一道框架题ThinkPHP 3.2.3中常见的一个报错页面错误!请稍后再试这个错误信息背后的原因是什么这个报错说明框架关闭了调试模式默认配置里 APP_DEBUG 为 false页面发生异常时统一展示这个提示具体错误记录在Application/Runtime/Logs下面。排查方式是在入口文件打开调试模式或者在日志里查具体异常堆栈。这个考点很重要因为真实的线上环境不应该把报错信息展示给用户但你必须知道去哪里找真正的问题。框架使用上的建议用框架没问题但至少要理解三个核心机制路由是怎么把URL分发给控制器的。依赖注入容器是如何管理对象的。ORM查询和原生SQL执行分别做了什么。能说清这三件事再用框架就不会抓瞎。ThinkPHP的文档和Laravel的文档我都建议精读一遍重点看生命周期和核心类库而不是只记API方法。php图册7. 常见问题与排查技巧实录7.1 做题过程中的高频误区这些年我拿着这套卷子给很多人做过也统计了一些高频错误整理成一张速查表常见误区错误认知正确做法使用比较字符串和数字认为两边相等才算相等严格比较用类型不一致时先确认意图中文截断乱码用substr截取中文使用mb_substrempty判断数字0以为0是有效值用isset或显式判断或用array_key_exists静态方法满天飞所有方法都定义为静态有状态操作应使用实例方法字符串拼接SQL图省事直接拼SQL一律使用预处理语句错误信息直接显示到页面以为对开发调试有利开发环境可以显示生产环境关闭用日志记录文件类型只查扩展名以为扩展名就是真实类型使用finfo读取MIME类型事务里不加rowCount判断以为SQL执行成功就代表影响了数据关键操作必须验证影响行数这张表里的每一条都是真实项目里踩过的坑。拿“事务里不加rowCount判断”来说很多人写扣减库存UPDATE执行了但库存本来就是0一条记录都没更新程序还照常走下单流程最后生成一笔根本无法履约的订单。这个小问题会直接引发售后事故所以务必养成影响行数判断习惯。7.2 开发环境与生产环境的差异在做练习的时候环境配置也是重要一环。很多人在本地用集成面板比如小皮面板之类的工具一键装好Apache、PHP、MySQL把display_errors开着报错直接显示在页面上。这套习惯带到生产环境会出大问题。建议用Docker搭建一套独立的PHP开发环境把PHP、MySQL、Redis分别容器化。这样既能模拟Linux生产环境也方便切换PHP版本做兼容性测试。网上有很多现成的PHP Docker镜像nginx、php-fpm、mysql、redis的编排文件十分钟就能配好。如果要用宝塔这类面板记得把PHP的display_errors关掉打开error_log并且把错误日志路径配置好。一个合格的二星级工程师要具备在任何环境下都能快速定位问题的能力而不是依赖浏览器把报错怼在脸上。7.3 排查问题的黄金思路排查问题时我有一套固定套路这套卷子做完后你可以直接用在工作里先看错误日志生产环境第一现场就是日志其他都是猜。复现问题在本地用同样的参数跑一遍加日志、逐步断点。拆分链条把“请求进来 → 路由分发 → 控制器 → 模型 → 数据库 → 返回响应”每个环节的日志都打出来定位问题发生在哪一环。验证数据很多bug源于数据不符预期打印参数、打印SQL、打印返回结果。修复后不急着收工思考为什么会出现这个bug流程上有没有漏掉的检查。这套思路比背任何框架源码都管用因为技术栈会变排查问题的方法论是通用的。8. 从二星到三星下一步怎么走8.1 把基本功刻进肌肉记忆做完这套卷子以后你大概已经知道自己哪些板块相对薄弱。我的建议是不必急着学下一个新技术先把薄弱环节补扎实。基础语法不熟就多刷一些具体场景题面向对象设计弱就拿着支付场景自己多设计几版类结构思考如何一步步引入接口、抽象类、依赖注入错误处理意识差就把以前写过的老代码统统review一遍加上异常捕获和日志记录。这阶段的标志性目标是你写代码的时候脑子里的第一反应不再是“这个功能能不能跑通”而是“如果这里挂了日志能不能帮我快速定位”。能稳定做到这一点说明你已经在向着三星级工程师迈进了。8.2 推荐练习项目光看卷子是不够的最好是实战练手。我推荐从这三个项目里挑一个做写一个简单的MVC框架从路由到数据库封装到模板引擎全自己实现一遍。这个过程能把面向对象、PDO、安全处理全部涉及。开发一个带用户认证和权限管理的后台系统选一个现代化框架Laravel或ThinkPHP 8搭起来自己设计权限表结构实现RBAC。把一个老旧项目从PHP 5升级到PHP 8把期间遇到的所有兼容性问题都记录下来。这个项目性价比极高因为升级过程会踩遍语言特性变迁的坑。8.3 最后分享几个小技巧如果让我在这套卷子里提炼几句最想告诉你的话第一PHP是一门一直在进化的语言PHP 8带来的类型系统、属性、枚举、readonly类都在让PHP变得更严谨。不要停留在PHP 5时代的写法更别以“老项目就是这么写的”为借口。第二写代码之前多想一分钟“这个数据如果异常会怎样”很多时候能避免几小时排查。把防御性编程养成习惯再简单的功能也要考虑边界情况。第三社区和手册是最好的老师。PHP官方手册的质量很高每个函数都有示例和注释遇到不确定的用法直接查手册别靠记忆猜也别去论坛看那些已经被时代淘汰的经验帖。英文文档看不懂就对着中文文档看中文手册更新速度虽然慢一点但重点内容仍然清晰。这套二星级综合练习卷当年就是在一次带团队内部培训时突发奇想搭起来的框架后来不断补充考题和答案。现在我更希望它不只是检验工具更像是给PHP工程师的一份“自查清单”帮你在职业生涯的进阶路上找到自己真正值得补的那块短板。把基础打扎实了后面的高级特性和架构能力才有承载的地基。希望这份拆解能帮到你。 PHP二星级工程师练习卷：五大核心考点逐项拆解
1. 这份二星级练习卷到底考什么先聊点背景。这两年我一直在带PHP方向的新人也负责团队的技术面试。时间久了就发现一个问题很多简历上写着“精通PHP”但真让写一段处理数组的代码能一次写对的人不到三成。写CRUD接口倒是很溜一问到错误处理、事务回滚、类型转换这些基本功就开始支支吾吾。与其每次面试都临时找题不如自己整理一套能综合考察PHP工程师真实水平的练习卷这个二星级的版本就是其中之一。这套卷子定位很明确适合有半年到两年实际开发经验的PHP工程师用来自查基础是否扎实也适合准备跳槽面试的人拿来系统复习。为什么叫“二星级”我习惯把工程师能力分成三个档位一星级能看懂代码会查手册能照着现成模板改功能。二星级能独立设计模块理解语言特性背后的原理知道常见坑在哪里写出来的代码有基本的健壮性和安全意识。三星级能主导架构设计做性能优化解决疑难杂症有自己的一套最佳实践。这套卷子核心就是卡在二星级这个段位不讲花哨的架构不考冷门的源码所有题目都是日常开发中真实会遇到的场景。做完这套题能暴露你在基础知识、面向对象、错误处理、数据库操作、安全规范这五个方面的薄弱环节。卷子按照五大板块来划分基础语法与函数、面向对象设计、错误处理与异常、数据库与PDO、安全与框架认知。每个板块的题目都不是单纯考记忆而是把知识点埋进业务场景里考察你能不能把知识用出来。接下来我把每个板块的设计思路和核心考点逐个拆开讲。2. 基础语法与函数看似简单实则陷阱多2.1 运算符与类型比较PHP史上最大的“坑王”基础语法板块里最值得说道的就是类型比较。PHP是弱类型语言这种设计让入门门槛低但也埋了不少隐患。很多老工程师都在这上面栽过跟头我在卷子里专门放了几道比较题。先看最经典的一道var_dump(abc 0); var_dump(abc 0);在PHP 7及更早版本里abc 0的结果是true因为比较时会把字符串转成数字非数字开头的字符串转型结果是0。到了PHP 8这个行为改了字符串和数字比较时会先尝试把字符串转成数字转不了就直接返回false所以PHP 8里结果是false。这就是为什么很多老项目升级到PHP 8之后突然冒出一堆诡异的bug很多都是比较运算导致的。再看另一个高频考点$num 0; var_dump(empty($num)); // true var_dump(isset($num)); // true var_dump(is_null($num)); // false这里考察的是empty、isset、is_null三个函数的区别。empty判断变量是否为空0、、0、null、false、空数组、未定义变量都会被判定为空isset判断变量是否存在且不为null所以变量值为0时返回trueis_null只判断是否为null。我见过不少人用empty去判断用户提交的表单值是否为0结果数字0被当作空值处理接口逻辑直接跑偏。还有个PHP 8引入的变化也值得注意字符串函数家族多了几个成员str_starts_with($str, prefix); str_ends_with($str, suffix); str_contains($str, needle);以前判断字符串是否包含某个子串得用strpos($str, needle) ! false现在直接用str_contains就好语义更清晰也不容易漏掉! false这个判断。卷子里有一道题就是让候选人判断一段代码的输出其实就是在考察这些新函数是否用熟了。2.2 数组与字符串这些函数你真的用对了吗数组操作是PHP日常开发里最高频的场景卷子里有一道综合题很能看出功底的扎实程度。$data [ [name 张三, score 82], [name 李四, score 95], [name 王五, score 67], ]; // 要求按score降序排序然后提取所有人的name组成新数组最直观的做法是写个自定义排序回调usort($data, function($a, $b) { return $b[score] $a[score]; }); $names array_column($data, name);这里有两个关键点usort配合太空船操作符做排序可比手写if ($a $b) return -1;这类代码简洁多了array_column能从二维数组里直接提取指定键的值一行搞定。如果这两函数用得不够熟往往会把简单问题复杂化。再来看字符串处理的经典题$str PHP工程师综合练习卷; echo substr($str, 0, 5); echo mb_substr($str, 0, 5);substr是按字节截取中文字符在UTF-8编码下占3个字节substr($str, 0, 5)会把第2个汉字切半输出乱码。mb_substr是多字节安全的按字符截取能正确输出前5个字符。这道题的考点不是“会不会用mb_substr”而是“知不知道什么时候必须用mb_substr”。凡是处理用户输入、文案展示、文件名等可能包含中文的场景一律用mb_系列函数。卷子里还考了array_map、array_filter、array_reduce这三个函数的区别array_map对每个元素做相同变换返回新数组不改变原数组。array_filter按条件过滤元素返回满足条件的元素支持回调返回false时剔除。array_reduce用回调函数迭代归约数组最终得到一个值。这三个函数放在一起考不是因为它们有多难而是因为很多人会把它们搞混。数组操作的核心思路就一句话能用内置函数解决的问题就不要自己写循环。内置函数经过大量优化性能更好代码可读性也更强。2.3 函数使用的经验之谈做这套卷子的时候我建议大家不要只看答案对不对重点看自己的思考过程。看到数组排序题第一反应是写foreach循环自己排还是条件反射般想到usort看到字符串截取第一反应是substr还是mb_substr这个反应速度基本就代表了你日常写代码的习惯。基础语法板块的题目不需要死记硬背函数签名但要记住几个原则优先使用内置函数不重复造轮子。涉及中文、多字节字符统一走mb_系列。PHP 8的新语法特性要主动去用比如匹配表达式match、空安全操作符?-、构造器属性提升这些都能让代码更简洁。另外提一下date函数的坑。很多老代码里写date(Y-m-d)在PHP 5.4之前这样写会报警告需要配date.timezone。现在新版PHP默认时区是UTC如果你在中国直接用date(Y-m-d H:i:s)得到的时间会比北京时间慢8个小时。正确做法是在入口文件或配置里设置date_default_timezone_set(Asia/Shanghai);这类问题在题目里不会直接考但我会在后面的实操题里埋一个伏笔结合时间戳算出“本月第一天”和“本月最后一天”。能答对的人基本都对日期函数有完整认知。3. 面向对象设计从会用到会设计3.1 接口、抽象类、普通类三选一怎么选面向对象这块理论知识大家都学过但真正到设计层面就露馅了。卷子里有一道设计题给一个支付场景现在需要对接支付宝、微信支付、银联三种支付方式每种支付方式的接口签名不一样但都有“发起支付”和“查询订单”两个动作。请设计类结构。多数人的第一版答案是写三个类各自实现。这能用但扩展性很差。如果再接入第四种支付方式呢改动面会很大。更好的方案是定义一个统一接口interface PaymentInterface { public function pay(array $orderInfo): array; public function query(string $orderNo): array; }三个支付类分别实现这个接口。业务层只依赖PaymentInterface不关心底层是哪个支付渠道。这就是面向接口编程的核心思想。卷子里考这道题不是为了让你背设计模式而是看你在实际设计类结构时有没有这个意识。抽象类和接口的区别也是高频考点接口是对行为的抽象强调“能做什么”一个类可以实现多个接口。抽象类是对一类事物的抽象强调“是什么”可以包含属性、可以包含具体实现一个类只能继承一个抽象类。实际设计时的判断标准很简单如果多个类有共同的行为约定但没有公共代码可复用用接口如果多个类要复用同一段公共逻辑并且这个逻辑有默认实现用抽象类。我建议的惯性做法是能接口优先接口因为Java里也只能 implements 多个接口、extends 一个类PHP也遵循类似的单继承模型接口保留了更多扩展空间。3.2 静态方法和实例方法别把静态方法当大箩筐设计题之外我还出了一道判断题下面这段代码的问题在哪class OrderService { public static function createOrder($data) { // 创建订单逻辑 } public static function getUserInfo($orderId) { // 查询用户信息 } }问题在于全部方法都定义成静态方法类变成了一个函数收纳盒。虽然调用方便但没法做依赖注入不好写单元测试代码耦合度高。静态方法适合无状态操作比如格式转换、校验工具类、单例模式的获取方法。一旦涉及状态管理、依赖其他服务就应该用实例方法。卷子里也考了一道关于魔术方法的题“当访问一个不存在或不可访问的属性时PHP会调用哪个魔术方法如果调用不存在的方法呢”答案分别是__get和__call。这两个方法在框架里很常见比如Laravel的Eloquent模型就是用__get实现属性访问的。3.3 依赖注入让代码可测试的关键二星级工程师需要具备的面向对象设计能力不只是会用class和extends更重要的是理解依赖关系如何管理。卷子里有一个小的场景题class UserController { private $userService; public function __construct(UserService $userService) { $this-userService $userService; } }这个就是构造函数注入。相比直接new UserService()构造函数注入的好处是依赖从外部传入可以轻松替换为Mock对象测试起来非常方便。现代PHP框架Laravel、ThinkPHP 6、Symfony都内置了依赖注入容器你在控制器构造函数里声明类型容器会自动解析并注入实例。这段代码能看懂说明你对框架的运作机制有了基础的认知。面向对象板块的实操建议拿着这段设计题自己动手写一遍完整代码。写完再想想如果要增加一种支付方式需要改哪些文件如果改动范围只限定在新增一个类文件说明你的设计合格了。4. 错误处理与异常机制区分“出错了”和“崩溃了”4.1 认识PHP的“错误级别”家族错误处理这块是很多PHP工程师最薄弱的地方。不少人的代码里遇到问题就var_dump一把梭线上环境还把display_errors开着把报错信息直接怼给用户。这些都是需要纠正的坏习惯。先看PHP的错误级别。卷子里的基础题是让你写出E_ERROR、E_WARNING、E_NOTICE、E_DEPRECATED分别代表什么含义E_ERROR致命错误程序终止执行。比如调用不存在的函数、内存耗尽。E_WARNING警告程序继续执行但结果可能不正确。比如包含文件失败、函数参数类型错误。E_NOTICE提示程序继续执行通常是代码可能存在不规范的地方。比如使用未定义的变量。E_DEPRECATED弃用提示代码使用了未来版本将移除的特性。这几个级别的区分比很多人想象的重要。我见过线上事故就是因为E_WARNING没被捕获日志里刷了成千上万条警告把磁盘撑满了数据库连接跟着全挂掉。所以平时开发时建议把error_reporting(E_ALL)开着让所有错误都暴露出来开发环境能看到问题别藏着掖着。PHP 8开始很多原本的E_WARNING升级成了Error异常比如访问未定义属性、函数参数数量不对都会直接抛出Error。这是一个大趋势PHP正在逐步从“报个警告继续跑”转向“抛异常终止执行”。4.2 自定义错误处理和异常捕获卷子里有一道实操题要求写一个自定义错误处理函数把错误转为异常set_error_handler(function($level, $message, $file, $line) { throw new ErrorException($message, 0, $level, $file, $line); }); try { // 业务代码 $fp fopen(not_exist.txt, r); } catch (ErrorException $e) { echo 捕获到错误: . $e-getMessage(); }这道题的用意是让候选人理解set_error_handler和异常机制的区别。try-catch只能接住自定义异常和PHP 8以后的部分Engine异常但老版本里PHP的“错误”Warning、Notice不会自动变成异常。用set_error_handler做一次转换就能统一异常处理逻辑这段代码在日常开发中非常实用尤其是在写框架底层的时候。再补一个set_exception_handler的典型用法生产环境的全局兜底set_exception_handler(function($throwable) { // 记录日志 error_log($throwable-getMessage(), 3, /var/log/php_error.log); // 返回友好提示 http_response_code(500); echo json_encode([code 500, msg 服务器内部错误]); });这样任何未被捕获的异常都会走统一出口不会把堆栈信息直接暴露给用户。4.3 日志规范排查问题的第一手证据错误处理部分我还配了一道开放题“线上代码出现bug但没有开启日志你怎么排查”正确答案不是“看代码”而是“先保证有日志可看”。实际开发中我强烈建议用框架自带的日志组件比如Monolog按照日期、级别分类存储。同时注意两个原则业务日志和错误日志分开存储业务日志记录操作行为错误日志只记录异常。日志必须包含上下文不只是一个错误消息要有请求URL、用户ID、参数摘要、堆栈信息。try { // 业务代码 } catch (\Exception $e) { Log::error(订单创建失败, [ order $orderData, user_id $userId, error $e-getMessage(), trace $e-getTraceAsString(), ]); }很多人只记$e-getMessage()遇到同样的错误不知道是哪个用户、哪个参数触发的。把上下文补上排查效率能翻几倍。这套卷子里如果有一条最能让你赚回票价的经验就是养成这个记录上下文的习惯。5. 数据库操作与PDO连接、预处理与事务5.1 为什么要用预处理语句数据库操作是PHP开发的重头戏卷子在这里花了很大篇幅。第一道题问的是用PDO连接MySQL查询用户表里年龄大于25的用户怎么写$dsn mysql:host127.0.0.1;dbnametest;charsetutf8mb4; $pdo new PDO($dsn, root, password, [ PDO::ATTR_ERRMODE PDO::ERRMODE_EXCEPTION, PDO::ATTR_DEFAULT_FETCH_MODE PDO::FETCH_ASSOC, ]); $stmt $pdo-prepare(SELECT * FROM users WHERE age :age); $stmt-execute([:age 25]); $users $stmt-fetchAll();这里的核心考点是预处理语句。为什么不能用字符串拼接SQL举一个最经典的注入例子$id $_GET[id]; $sql SELECT * FROM users WHERE id {$id};如果用户传入id1 OR 11整张表的数据都被查出来了。如果传入id1; DROP TABLE users;后果更严重。预处理语句的原理是SQL模板先发给数据库编译参数后发参数永远只是数据不会被解析成SQL代码。相当于SQL是把“带空格的填空卡”先交给数据库参数再填进空里数据库知道这些空里只能是内容不是代码。使用PDO时还有两个配置必须注意。第一个是PDO::ATTR_ERRMODE设为PDO::ERRMODE_EXCEPTION这样SQL出错时会抛出异常而不是返回false可以被try-catch捕获。第二个是字符集必须显式指定utf8mb4不然遇到emoji表情和生僻字会保存失败。5.2 事务处理同一时间只保证订单不出错数据库板块有一道综合业务题用户下单需要扣库存、生成订单、扣减账户余额这三个操作必须全部成功或全部失败怎么实现标准答案是事务try { $pdo-beginTransaction(); // 1. 扣减库存 $stmt $pdo-prepare(UPDATE products SET stock stock - 1 WHERE id ? AND stock 0); $stmt-execute([$productId]); if ($stmt-rowCount() 0) { throw new Exception(库存不足); } // 2. 生成订单 $stmt $pdo-prepare(INSERT INTO orders (order_no, user_id, amount) VALUES (?, ?, ?)); $stmt-execute([$orderNo, $userId, $amount]); // 3. 扣减余额 $stmt $pdo-prepare(UPDATE users SET balance balance - ? WHERE id ? AND balance ?); $stmt-execute([$amount, $userId, $amount]); if ($stmt-rowCount() 0) { throw new Exception(余额不足); } $pdo-commit(); } catch (Exception $e) { $pdo-rollBack(); // 记录日志、返回错误 }这道题能筛掉很多人因为三个动作连着写简单但把事务边界放在哪、哪些操作放在事务里、rowCount()怎么用来判断影响行数、什么时候回滚这些细节才是真正的考点。关键点在于扣减库存的SQL里加了AND stock 0条件再配合rowCount()判断影响行数。这比先查询库存再比较更安全避免了并发场景下的超卖问题。数据库的原子性操作能在一个SQL里完成判断和更新就不要拆成两步。事务里还有个大坑叫“隐式提交”。ALTER TABLE、CREATE TABLE、DROP TABLE这些DDL语句都会隐式提交当前事务把事务断成两截。另外ThinkPHP这类框架里Model::save()如果内部对同一连接执行了DDL操作也会影响事务。写代码时要注意事务内只放DML语句增删改查不要把DDL塞进来。5.3 连接池与性能意识PDO这块我额外补充一个连接池的概念。PHP每次请求结束数据库连接就释放了天然就是“连接断开”模型这也是PHP容易高并发的短板之一。二星级工程师可以不用实现连接池但要明白Swoole、Workerman这类常驻内存方案是为解决什么问题而存在复用连接、减少TCP握手和认证开销。卷子里有一道概念题“PHP-FPM每次请求都会新建数据库连接吗连接能不能复用”理解这个问题的工程师才能在生产环境里真正定位数据库压力来源。没有连接池的PHP下500 QPS就可能让MySQL连接数打到几百上千正确做法是通过中间件如ProxySQL或改用Swoole常驻方案分摊连接压力。6. 安全与框架基础安全意识必须内化6.1 三大安全防线XSS、CSRF、SQL注入安全板块的题目不多但每一道都直击要害。第一道是综合场景题一个用户评论功能用户在输入框里提交了scriptalert(xss)/script评论保存后展示给所有用户会发生什么答案是存储型XSS攻击。浏览器会执行这段脚本恶意代码可以窃取用户的Cookie、篡改页面内容、发起恶意请求。防御方法很简单// 输出时转义 echo htmlspecialchars($comment, ENT_QUOTES, UTF-8);第二个必考题是CSRF跨站请求伪造。攻击者诱导用户访问一个恶意页面这个页面自动向你的网站提交一个“修改密码”的请求浏览器会自动带上用户的Cookie请求看起来完全合法。防御思路是在表单里塞一个随机token服务端校验token是否匹配。$_SESSION[csrf_token] bin2hex(random_bytes(32)); // 表单里输出 input typehidden namecsrf_token value{$csrf_token} // 提交时校验 if ($_POST[csrf_token] ! $_SESSION[csrf_token]) { die(非法请求); }第三道题就是SQL注入。除了上节说的预处理方案还有一个原则永远不要信任外部输入。所有用户提交的数据都默认不可信这是做安全的底层心态。6.2 文件上传的边界不止是后门文件上传类的题目在面试题雷达里很常见卷子里也出了一道实现一个文件上传接口要求只允许jpg、png、gif格式怎么做很多人的答案是检查扩展名if (in_array($ext, [jpg, png, gif])) { // 保存文件 }这个检查很快就会被绕过构造一个shell.php.jpg的文件名或者上传一个内容为PHP代码的图片文件配合解析漏洞直接getshell。比较严格的方案是$finfo new finfo(FILEINFO_MIME_TYPE); $mime $finfo-file($_FILES[file][tmp_name]); $allowedMime [image/jpeg, image/png, image/gif]; if (!in_array($mime, $allowedMime)) { throw new Exception(不支持的图片格式); }不要用扩展名用文件内容真实判断MIME类型。另外文件存储时自己生成文件名不要用用户原始文件名避免路径穿越和特殊字符问题。文件保存在web根目录之外的目录通过程序读取并输出可以做到不暴露可执行脚本路径。6.3 框架认知不止是会用要知道底层怎么回事最后一道框架题ThinkPHP 3.2.3中常见的一个报错页面错误!请稍后再试这个错误信息背后的原因是什么这个报错说明框架关闭了调试模式默认配置里 APP_DEBUG 为 false页面发生异常时统一展示这个提示具体错误记录在Application/Runtime/Logs下面。排查方式是在入口文件打开调试模式或者在日志里查具体异常堆栈。这个考点很重要因为真实的线上环境不应该把报错信息展示给用户但你必须知道去哪里找真正的问题。框架使用上的建议用框架没问题但至少要理解三个核心机制路由是怎么把URL分发给控制器的。依赖注入容器是如何管理对象的。ORM查询和原生SQL执行分别做了什么。能说清这三件事再用框架就不会抓瞎。ThinkPHP的文档和Laravel的文档我都建议精读一遍重点看生命周期和核心类库而不是只记API方法。php图册7. 常见问题与排查技巧实录7.1 做题过程中的高频误区这些年我拿着这套卷子给很多人做过也统计了一些高频错误整理成一张速查表常见误区错误认知正确做法使用比较字符串和数字认为两边相等才算相等严格比较用类型不一致时先确认意图中文截断乱码用substr截取中文使用mb_substrempty判断数字0以为0是有效值用isset或显式判断或用array_key_exists静态方法满天飞所有方法都定义为静态有状态操作应使用实例方法字符串拼接SQL图省事直接拼SQL一律使用预处理语句错误信息直接显示到页面以为对开发调试有利开发环境可以显示生产环境关闭用日志记录文件类型只查扩展名以为扩展名就是真实类型使用finfo读取MIME类型事务里不加rowCount判断以为SQL执行成功就代表影响了数据关键操作必须验证影响行数这张表里的每一条都是真实项目里踩过的坑。拿“事务里不加rowCount判断”来说很多人写扣减库存UPDATE执行了但库存本来就是0一条记录都没更新程序还照常走下单流程最后生成一笔根本无法履约的订单。这个小问题会直接引发售后事故所以务必养成影响行数判断习惯。7.2 开发环境与生产环境的差异在做练习的时候环境配置也是重要一环。很多人在本地用集成面板比如小皮面板之类的工具一键装好Apache、PHP、MySQL把display_errors开着报错直接显示在页面上。这套习惯带到生产环境会出大问题。建议用Docker搭建一套独立的PHP开发环境把PHP、MySQL、Redis分别容器化。这样既能模拟Linux生产环境也方便切换PHP版本做兼容性测试。网上有很多现成的PHP Docker镜像nginx、php-fpm、mysql、redis的编排文件十分钟就能配好。如果要用宝塔这类面板记得把PHP的display_errors关掉打开error_log并且把错误日志路径配置好。一个合格的二星级工程师要具备在任何环境下都能快速定位问题的能力而不是依赖浏览器把报错怼在脸上。7.3 排查问题的黄金思路排查问题时我有一套固定套路这套卷子做完后你可以直接用在工作里先看错误日志生产环境第一现场就是日志其他都是猜。复现问题在本地用同样的参数跑一遍加日志、逐步断点。拆分链条把“请求进来 → 路由分发 → 控制器 → 模型 → 数据库 → 返回响应”每个环节的日志都打出来定位问题发生在哪一环。验证数据很多bug源于数据不符预期打印参数、打印SQL、打印返回结果。修复后不急着收工思考为什么会出现这个bug流程上有没有漏掉的检查。这套思路比背任何框架源码都管用因为技术栈会变排查问题的方法论是通用的。8. 从二星到三星下一步怎么走8.1 把基本功刻进肌肉记忆做完这套卷子以后你大概已经知道自己哪些板块相对薄弱。我的建议是不必急着学下一个新技术先把薄弱环节补扎实。基础语法不熟就多刷一些具体场景题面向对象设计弱就拿着支付场景自己多设计几版类结构思考如何一步步引入接口、抽象类、依赖注入错误处理意识差就把以前写过的老代码统统review一遍加上异常捕获和日志记录。这阶段的标志性目标是你写代码的时候脑子里的第一反应不再是“这个功能能不能跑通”而是“如果这里挂了日志能不能帮我快速定位”。能稳定做到这一点说明你已经在向着三星级工程师迈进了。8.2 推荐练习项目光看卷子是不够的最好是实战练手。我推荐从这三个项目里挑一个做写一个简单的MVC框架从路由到数据库封装到模板引擎全自己实现一遍。这个过程能把面向对象、PDO、安全处理全部涉及。开发一个带用户认证和权限管理的后台系统选一个现代化框架Laravel或ThinkPHP 8搭起来自己设计权限表结构实现RBAC。把一个老旧项目从PHP 5升级到PHP 8把期间遇到的所有兼容性问题都记录下来。这个项目性价比极高因为升级过程会踩遍语言特性变迁的坑。8.3 最后分享几个小技巧如果让我在这套卷子里提炼几句最想告诉你的话第一PHP是一门一直在进化的语言PHP 8带来的类型系统、属性、枚举、readonly类都在让PHP变得更严谨。不要停留在PHP 5时代的写法更别以“老项目就是这么写的”为借口。第二写代码之前多想一分钟“这个数据如果异常会怎样”很多时候能避免几小时排查。把防御性编程养成习惯再简单的功能也要考虑边界情况。第三社区和手册是最好的老师。PHP官方手册的质量很高每个函数都有示例和注释遇到不确定的用法直接查手册别靠记忆猜也别去论坛看那些已经被时代淘汰的经验帖。英文文档看不懂就对着中文文档看中文手册更新速度虽然慢一点但重点内容仍然清晰。这套二星级综合练习卷当年就是在一次带团队内部培训时突发奇想搭起来的框架后来不断补充考题和答案。现在我更希望它不只是检验工具更像是给PHP工程师的一份“自查清单”帮你在职业生涯的进阶路上找到自己真正值得补的那块短板。把基础打扎实了后面的高级特性和架构能力才有承载的地基。希望这份拆解能帮到你。