PHP 弱类型陷阱：那些等号比较坑过你的地方

PHP 的 == 会先做类型转换再比较，=== 不会——所有涉及身份、权限、金额、Token 的比较，一律用 === 或 hash_equals()，这一条能挡掉九成以上的弱类型事故。

一、坑的根源：== 的类型转换规则

结论：== 在不同 PHP 版本上的行为并不一致，这才是最危险的地方。

PHP 8.0 之前，非数字字符串和数字比较会先把字符串转成数字，"abc" == 0 返回 true；PHP 8.0 起改为按字符串比较，返回 false。同一行代码，PHP 7.4 和 8.0 结果相反。Clara BBS 的兼容区间是 PHP 7.4-8.5，同一份代码可能跑在完全不同的比较语义上——如果你写插件时习惯用 == 判断版本号、状态码、用户输入，升级 PHP 时行为会静默变化，不报错，但逻辑已经错了。

另一个经典是「0e 魔法哈希」：PHP 里 "0e123" 会被当成科学计数法（0 乘以 10 的 123 次方，结果都是 0），所以两个都以 0e 开头的 MD5 值用 == 比较会相等。凡是拿哈希当密码或签名比较的地方，必须用 hash_equals($known, $user)，它同时防类型绕过和时序攻击。

还有「五兄弟」问题：null、false、0、""、"0" 之间用 == 互比，结果经常不符合直觉。null == 0 为 true，"" == 0 为 true。

二、这些函数内部也在用 ==

结论：in_array()、array_search()、switch、strpos() 都默认走宽松比较，必须主动收紧。

• in_array($needle, $haystack) 默认松散比较，第三个参数传 true 才是严格模式。结论：in_array() 永远写满三个参数：in_array($needle, $haystack, true)。
• array_search() 同理，第三参数 strict 要传 true。
• switch 用的是 == 语义，switch("abc") 在 PHP 7 下能命中 case 0，PHP 8 下不会。
• strpos() 找不到时返回 false，找到开头时返回 0，而 0 == false 为 true。结论：判断用 if (strpos($s, $needle) === false)，或直接用 str_contains()（PHP 8.0+）。

另外澄清一个高频误解：declare(strict_types=1) 只影响函数参数和返回值的类型强制，不影响 ==、in_array() 这类比较操作。开了严格模式不等于比较就安全了。

三、放到论坛系统里，这些坑长什么样

结论：身份、权限、金额三类比较，是最容易被弱类型钻空子的地方。

Clara BBS 在安全基线上把这几件事交给了更稳妥的机制：密码用 bcrypt 存储，校验走 password_verify()，不是把哈希拿出来用 == 比；CSRF 是全站统一校验；上传走文件类型白名单加图片二次校验。这些设计本身就是绕开弱类型比较的思路。

但二次开发和写插件时，坑得自己躲：

1. 权限判断。用户组、版块权限这类值常见写法是 if ($groupId == 1)，如果 $groupId 来自请求参数、是字符串 "1abc"，PHP 7 下会命中管理员分支。改用 === 并先做 intval() 归一，或直接把允许的组放进数组用 in_array(..., true) 判断——Clara BBS 的版块级权限矩阵本身就是「用户组 × 操作」的枚举匹配，插件里沿用这套枚举比自造数值判断安全得多。
2. 金额与余额。悬赏托管、附件定价、转账记账都绕不开数值比较。浮点数用 == 几乎必错（0.1 + 0.2 == 0.3 是 false），涉及金额时统一用整数最小单位，或至少用 abs($a - $b) < 0.0001 这种容差写法。
3. Token 与签名。任何和用户输入的密钥、令牌比较，一律 hash_equals()。
4. 状态码。数据库里的 tinyint 状态字段，从 PDO 取出来可能是字符串，别用 == 和整数常量比，用 (int) 转换后 ===。

四、动手清单

结论：把下面四件事做完，弱类型事故基本清零。

1. 全项目搜索 ==，逐个人工确认，安全相关的一律换成 ===。
2. 搜索 in_array( 和 array_search(，补上 true。
3. 搜索 strpos(，确认判断条件写的是 === false。
4. 在代码规范里写明：不许用 == 比较来自请求、数据库、配置的值——这些来源的类型永远不可信。

判断优先级很简单：能 === 就 ===，哈希用 hash_equals()，数组查找加 strict，金额别用浮点相等。

弱类型不是 PHP 的缺陷，是它的设计取舍；问题在于你没法控制变量从哪来。凡是外部输入参与的比较，都当成「类型未知」处理，用严格比较收口，就不会在升级 PHP 或换环境时被静默改掉逻辑。