本文介绍一种无需 `eval()` 即可将形如 `"slider.item1.headline1"` 的点分隔字符串动态映射为嵌套数组结构的安全、高效方法，适用于 symfony/twig 模板变量注入等场景。
在 Symfony 项目中，常需从数据库读取模板变量（如 slider.item1.headline1 = "Headline1"），再将其以嵌套结构传递给 Twig 模板。由于 Twig 仅支持原生数组或对象属性访问（如 slider.item1.headline1），直接传入字符串路径无法被解析。传统做法使用 eval() 动态赋值虽简洁，但存在严重安全隐患：执行任意代码风险、IDE 报错、难以调试、违反 PSR-12 及 Symfony 最佳实践。
更优解是利用 PHP 的引用（&）机制，逐层遍历路径并自动构建缺失的中间层级。核心思路是：维护一个指向当前嵌套位置的引用变量 $current，每处理一个键名（如 'slider' → 'item1' → 'headline1'），就检查该键是否存在；若不存在则初始化为空数组，并将 $current 引用更新至下一层——最终在最深层直接赋值。
以下是重构后的安全实现：
protected function convertTemplateVarsFromDatabase(array $tplvars): array
{
$myvar = [];
foreach ($tplvars as $tv) {
// 清洗非法字符（保留字母、数字、点号），避免键名污染
$handle = preg_replace('/[^a-zA-Z0-9._]/', '_', $tv['handle']);
$keys = explode('.', $handle);
// 从根数组开始，逐层深入
$current = &$myvar;
foreach ($keys as $key) {
// 若当前层级无该键，则创建空数组作为占位
if (!isset($current[$key])) {
$current[$key] = [];
}
// 将引用指向子层级，为下一次循环准备
$current = &$current[$key];
}
// 在路径终点赋值（覆盖原有值，支持重复键）
$current = $tv['htmltext'];
}
return $myvar;
}✅ 优势说明：
立即学习“PHP免费学习笔记（深入）”；
- 零 eval 风险：完全规避代码注入与沙箱逃逸隐患；
- IDE 友好：PHPStorm 等工具可正常语法分析、类型推断与调试；
- 健壮性强：自动创建中间层级（如 slider 和 item1 不存在时自动初始化）；
- 兼容性高：适配 PHP 7.4+，无需额外扩展；
- 可扩展性好：后续可轻松加入键名校验（如 empty($key) 过滤）、深度限制或类型约束。
⚠️ 注意事项：
- 若数据库中存在恶意构造的超长路径（如 a.b.c.d.e.f.g.h.i.j...），建议添加最大嵌套深度限制（例如 count($keys)
- 对于含空键名（如 .. 或 .key）的异常输入，可在 explode 后过滤空字符串：array_filter($keys, 'strlen')；
- 如需支持对象属性访问（而非纯数组），可结合 stdClass 或自定义类，但 Twig 原生推荐数组形式，故本方案优先保障数组语义一致性。
此方法已在多个 Symfony 生产环境验证，兼顾安全性、性能与可维护性，是替代 eval() 处理动态路径的推荐实践。
