parse_str用于将url编码字符串解析为数组，extract则将数组键值对提取为独立变量。前者侧重数据结构转换，后者侧重变量创建。两者均存在安全风险，如变量覆盖，尤其在未指定参数或开启特定标志时。使用时应严格验证输入，如用白名单限制可解析变量。parse_str应始终传递第二个参数（$result）以避免覆盖，extract则应谨慎选择标志位（如extr_skip、extr_prefix_same）控制变量冲突。此外，parse_str常用于处理查询字符串或post数据，extract多用于简化模板变量赋值，但过度使用会降低代码可读性，建议权衡便利与安全。
简而言之，parse_str是将URL编码的字符串解析成数组，而extract则是将数组中的键值对提取成独立的变量。一个偏向于数据结构的转换，另一个偏向于变量的创建。
parse_str和extract的变量解析区别
为什么不应该直接信任parse_str和extract的输入？
安全！这是首要考虑的。parse_str在老版本PHP中存在变量覆盖的风险，尤其是在未指定第二个参数（$result）时。恶意用户可以构造恶意的URL编码字符串，覆盖你的已有变量。extract同样存在风险，它可以覆盖已定义的变量，如果开启了EXTR_OVERWRITE标志，风险更大。所以，在使用这两个函数时，一定要对输入进行严格的验证和过滤。你可以考虑使用白名单的方式，只允许特定的变量被解析或提取。
立即学习“PHP免费学习笔记（深入）”；
如何安全地使用parse_str？
最好的方法是始终传递第二个参数，将解析后的变量存储在一个数组中。这样可以避免变量覆盖的风险。例如：
$str = "name=John&age=30"; $result = array(); parse_str($str, $result); echo $result['name']; // 输出 John echo $result['age']; // 输出 30
另外，要对输入字符串进行校验，确保它符合预期的格式。如果可能，使用正则表达式进行过滤。
extract有哪些标志位，它们分别有什么作用？
extract函数允许你通过标志位来控制变量提取的行为。常见的标志位包括：
-
EXTR_OVERWRITE：默认值。如果变量名冲突，覆盖已存在的变量。 -
EXTR_SKIP：如果变量名冲突，跳过不提取。 -
EXTR_PREFIX_SAME：如果变量名冲突，给提取的变量名加上前缀。你需要同时提供$prefix参数。 -
EXTR_PREFIX_ALL：给所有提取的变量名加上前缀。你需要同时提供$prefix参数。 -
EXTR_PREFIX_INVALID：仅对无效或数字的变量名加上前缀。你需要同时提供$prefix参数。 -
EXTR_IF_EXISTS：仅当同名变量已存在时才提取。 -
EXTR_PREFIX_IF_EXISTS：仅当同名变量已存在时才加上前缀。你需要同时提供$prefix参数。 -
EXTR_REFS：将变量作为引用提取。
选择合适的标志位可以有效地控制变量提取的行为，避免潜在的冲突和安全问题。例如，使用EXTR_SKIP可以防止覆盖已有的重要变量。
parse_str和extract在实际开发中有什么应用场景？
parse_str常用于处理URL查询字符串或POST请求中的数据。比如，当你需要解析用户提交的表单数据时，可以使用parse_str将$_POST中的数据解析成数组。
extract则常用于简化代码，将数组中的数据快速提取成变量。例如，在模板引擎中，可以将传递给模板的变量数组使用extract提取出来，方便在模板中使用。
需要注意的是，过度使用extract可能会降低代码的可读性和可维护性。因为它会隐式地创建变量，使得代码难以追踪变量的来源。所以，在使用extract时，要权衡其带来的便利性和潜在的风险。有时，直接使用数组访问可能更加清晰和安全。
