最安全的URL参数拼接方式是使用http_build_query()，它自动处理urlencode、多维数组展开及null值过滤；数组合并应按场景选array_merge()（右侧覆盖）或+（左侧保留）；默认值补全必须用??而非?:。
用 http_build_query() 拼接参数最安全
手动拼接 ?a=1&b=2 是最容易出错的路径，尤其是遇到中文、空格、& 或数组时。PHP 自带的 http_build_query() 会自动处理 urlencode()、多维数组展开、null 值过滤，且默认忽略 NULL 和未设置的键。
常见错误现象：
- 直接拼字符串导致 URL 解析失败（如
name=John&Doe被截断为name=John） - 忘记对数组调用
urlencode()，生成tags[]=php&tags[]=web这类合法格式失败 - 传入
null或空字符串后，参数意外消失或变成key=
实操建议：
- 始终把参数组织成关联数组，再丢给
http_build_query() - 需要保留
0、false、''等“假值”时，别依赖isset()预过滤——http_build_query()默认就保留它们 - 若需自定义
=或&分隔符（比如对接某些老接口），用第二个参数指定：http_build_query($params, '', '&')
array_merge() 和 + 运算符合并配置数组的区别
请求参数本身常来自多层来源：默认配置 + 环境变量 + 用户输入。这时要合并的是「参数模板」，不是最终 URL 字符串，所以得选对数组合并方式。
关键差异在键冲突处理逻辑：
-
array_merge($defaults, $overrides)：同名字符串键，右侧覆盖左侧；数字键强制重索引（[0,1]+[0,1]→[0,1,2,3]） -
$defaults + $overrides：同名字符串键，左侧保留，右侧被丢弃；数字键按原始索引保留，不重排（[0=>'a',1=>'b'] + [0=>'x',2=>'y']→[0=>'a',1=>'b',2=>'y']）
使用场景：
- 做 API 请求参数兜底（如必填
format=json），用+更稳妥——避免用户传了format=xml反被你覆盖 - 做动态查询条件叠加（如
where条件链），用array_merge()更自然——后加的条件理应优先生效 - 注意：
array_merge()对空数组或null参数会报 warning，建议先用is_array()校验
深层嵌套参数（如 filter[name]）怎么合并
表单或 API 常见结构如 user[profile][age]=25，这种不能靠简单 + 或 array_merge() 处理，否则会整块覆盖子数组。
正确做法是递归合并：
- 优先用
array_merge_recursive()：它对同名键不做覆盖，而是合并成数组（['a'=>1] + ['a'=>2]→['a'=>[1,2]]），适合日志标签、多选字段等场景 - 若需“深覆盖”（即
user.profile.age被新值完全替换），就得手写递归函数或用框架工具（如 Laravel 的Arr::replaceRecursive()） - PHP 7.4+ 可结合展开运算符构造中间结构：
array_merge(...array_values($paramGroups))，但仅适用于扁平化后的键名，不解决嵌套语义
容易踩的坑：
-
array_merge_recursive()对数字键仍会重索引，和预期不符时要提前转为字符串键 - 不要对含对象或资源的数组用递归合并，会触发不可序列化错误
空值和默认值用 ?? 还是 ?:？
合并前常要补默认值，比如 $params['timeout'] ?? 5000。这里必须用空合并运算符 ??，而不是逻辑或 ?:。
原因很实际：
-
?:在左值为0、false、''时都会取右值，导致合法的timeout=0（表示不超时）被悄悄替换成5000 -
??只在左值为null或未定义时才生效，0 ?? 5000结果就是0 - 如果参数来自
$_GET或 JSON 解码，注意字符串"0"不等于0，也非null，??安全，?:未必
复杂点在于：有些接口把缺失字段当 null 处理，有些当未发送字段处理。这时候光靠 ?? 不够，得配合 array_key_exists() 显式判断键是否存在——这是最常被忽略的一环。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
