<?php $arr = array('abc', '999'); $needle = 0; if (in_array($needle, $arr)) { echo 'ok'; } else { echo 'not in array'; } ?>

執行上面的程式碼看看，你想說什麼？

我是驚出了冷汗的

in_array常被老手們這樣用做變數檢查，但顯然結果並不靠譜。

為什麼會這樣呢？再試試這個

<?php $arr = array(1,2,3,4,5); $needle = 0; if (in_array($needle, $arr)) { echo 'ok'; } else { echo 'not in array'; } ?>

問題似乎是PHP的預設型別轉換造成的，數字與字串比較時，字串先被強制轉成數字再進行了比較。真的是這個原因嗎？愛較真的朋友請自行檢視PHP原始碼，沒準你還會發現其他問題。

其實in_array提供有第三個引數（預設為false)，用於執行嚴格的型別檢查，避免這個問題只需將其設定為true，但不是每個人都留意使用。搜了一下WordPress原始碼中使用 in_array 263處，許多關鍵處都使用了第三個引數，看來自己離老手還差得遠那。

多少要埋怨一下，為什麼不把第三個引數預設為true呢，這也太容易讓人犯獵了。想想原因也很簡單，為了保持PHP在型別處理上的一致性，就是讓像下面的程式碼結果與你的期望一致。

<?php $arr = array(1,2,3,4,5); $needle = '2'; if (in_array($needle, $arr)) { echo "ok"; } else { echo "not in array"; } ?>

最後想說的是，這不構成對PHP弱型別詬病的理由，這是WEB開發的特點確定的，如果讓程式碼中充斥大量型別檢查和型別轉換會更讓人難以忍受，讓使用PHP的開發者有大刀闊斧、暢快淋漓的快感，是我喜歡PHP的原因之一。

但缺點確實是存在的，解決方案已經給出，本例中你可以在需要時為in_array設定第三個引數，或者使用另一個函式array_search。

打出”安全漏洞“的題目，標題黨一回了，給新手也給自己提個醒。