必须校验$_post字段存在且非空，优先用filter_input()过滤输入，嵌套命名处理多值表单，输出时按上下文选用htmlspecialchars()或json_encode()。
直接用 $_POST 会出 Notice 和安全问题
不加判断就写 $_POST['username']，PHP 8+ 会抛 Notice: Undefined array key "username"；更严重的是，如果用户绕过前端校验或篡改请求，直接提交空值、SQL 片段或 JS 脚本，后续 echo 或入库就可能触发 XSS 或 SQL 注入。
必须先确认字段存在且非空，再做处理：
- 用
isset($_POST['username']) && trim($_POST['username']) !== ''判断是否提交且有内容 - 不要依赖
$_POST['username'] ?? ''就完事——它只防 Notice，不防恶意输入 - 若字段是必填项，缺失时应中止执行并返回错误提示，而不是继续往下走
filter_input() 是比 $_POST 更安全的起点
它把“取值 + 过滤 + 验证”三步合一，且默认返回 null 或 false 而不是原始字符串，能天然阻断脏数据流入业务逻辑。
常见用法示例：
- 取并清理用户名：
$name = filter_input(INPUT_POST, 'name', FILTER_SANITIZE_FULL_SPECIAL_CHARS); - 取并验证邮箱：
$email = filter_input(INPUT_POST, 'email', FILTER_VALIDATE_EMAIL);（失败时返回false） - 取并转为整数：
$age = filter_input(INPUT_POST, 'age', FILTER_VALIDATE_INT, ['options' => ['min_range' => 1, 'max_range' => 120]]);
注意：FILTER_SANITIZE_STRING 在 PHP 8.1+ 已废弃，必须换用 FILTER_SANITIZE_FULL_SPECIAL_CHARS。
多值表单（复选框、动态商品行）别用平行数组
像 itmid[]、sellprc[]、itm[] 这种命名方式，一旦某一项留空或顺序错乱，后端遍历时就会键值错位——比如价格对应了错误的商品 ID。
正确做法是用嵌套结构命名，让每个条目自成一体：
- HTML 中写：
<input name="items[1825][id]" value="1825"><input name="items[1825][price]"> - PHP 中直接遍历：
foreach ($_POST['items'] as $itemId => $data) { ... } - 对每个
$data['price']单独校验格式和范围，再组合进$validItems[]
这样即使用户只填了第 3 行和第 5 行，也不会影响解析准确性。
输出到 HTML 前必须用 htmlspecialchars()，但不能只靠它
很多人以为过滤了输入，输出时随便 echo 就安全。其实不然：同一份数据在不同上下文要不同处理。
- 插入 HTML 文本节点（如
<p>Hello <?php echo $name; ?></p>）→ 用htmlspecialchars($name, ENT_QUOTES, 'UTF-8') - 插入 HTML 属性（如
<div data-id="<?php echo $id; ?>">）→ 同样用 <code>htmlspecialchars，但确保属性用双引号包裹 - 插入 JavaScript 字符串（如
var msg = "<?php echo $msg; ?>";）→ 必须改用json_encode($msg, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG)
最常被忽略的一点：htmlspecialchars() 不处理 null 字节、UTF-8 截断等边缘情况，敏感输出建议配合 CSP 头或严格字符集限制。
