请求进来，页面出去

和网页服务器待在同一趟旅程里，天生适合站点后台。

PHP 的生命周期很短：接到一次 HTTP 请求，跑完脚本，交出 HTML 或 JSON，然后进程就可以忘掉刚才发生的事。博客、企业站、内容后台，至今仍有大量系统按这个节奏工作。

1. 01

   超全局变量

   $_GET、$_POST、$_SERVER、$_SESSION 是请求自带的口袋。用之前先问它们是否存在、是否合法，不要直接拼进 SQL。

2. 02

   模板输出

   把数据和 HTML 分开。页面负责展示，逻辑负责取值。混在一起的文件，改一句文案都可能碰掉登录。

3. 03

   会话与登录

   Session 记住“这人是谁”。Cookie 只是钥匙，真正的身份要放在服务端，并且设置过期和退出。

4. 04

   数据库访问

   PDO 预编译能挡住最常见的注入。字段映射清楚，列表页和详情页才不会各写一套查询。

5. 05

   现代框架

   Laravel 这类框架补上了路由、迁移、队列和邮件。即便不用框架，也该把公共校验收拢到一处。