答案：PHP解析URL查询字符串可通过$_GET、parse_str()和parse_url()等方法将参数转为键值对，自动处理URL编码，使用htmlspecialchars()或filter_input()防范XSS攻击，避免parse_str()变量覆盖风险，并注意max_input_vars限制对嵌套数组的影响。
PHP解析URL查询字符串，简单来说，就是把URL中
?后面的那部分，拆解成你可以方便使用的键值对数组。
解决方案
PHP提供了几种方法来解析URL查询字符串。最常用的方法是使用
$_GET超全局变量，它会自动将查询字符串解析成一个关联数组。
例如，如果URL是
example.com?name=John&age=30，那么在PHP中，你可以通过
$_GET['name']获取到
John，通过
$_GET['age']获取到
30。
如果需要手动解析，可以使用
parse_str()函数。这个函数可以将查询字符串解析到变量中，或者解析到一个数组中。
立即学习“PHP免费学习笔记（深入）”；
$query_string = "name=John&age=30"; parse_str($query_string, $params); echo $params['name']; // 输出 John echo $params['age']; // 输出 30
当然，
parse_url()函数也能派上用场，虽然它主要用于解析整个URL，但你可以用它来提取查询字符串，然后再配合
parse_str()使用。
$url = "http://example.com?name=John&age=30";
$url_parts = parse_url($url);
if (isset($url_parts['query'])) {
parse_str($url_parts['query'], $params);
echo $params['name']; // 输出 John
echo $params['age']; // 输出 30
}如何处理URL编码的查询字符串？
URL查询字符串通常会进行URL编码，例如空格会被编码成
%20，特殊字符也会被编码。PHP的
$_GET和
parse_str()函数会自动处理这些编码，所以你通常不需要手动解码。
但如果遇到一些特殊情况，比如你需要处理未解码的查询字符串，可以使用
urldecode()函数手动解码。
$encoded_string = "name=John%20Doe&city=New%20York"; parse_str($encoded_string, $params); echo $params['name']; // 输出 John Doe (注意：空格仍然是编码后的) echo urldecode($params['name']); // 输出 John Doe (空格已解码)
如何安全地处理$_GET
参数，防止XSS攻击？
这是一个非常重要的问题。直接使用
$_GET参数可能会导致XSS攻击。攻击者可以通过构造恶意的URL，将恶意脚本注入到你的页面中。
为了防止XSS攻击，你需要对
$_GET参数进行过滤和转义。常用的方法是使用
htmlspecialchars()函数。这个函数可以将HTML特殊字符，比如
<、
>、
"、
'等，转换成HTML实体。
$name = $_GET['name']; $safe_name = htmlspecialchars($name, ENT_QUOTES, 'UTF-8'); echo "Hello, " . $safe_name;
ENT_QUOTES参数表示同时转义单引号和双引号，
UTF-8参数指定字符编码。
此外，还可以使用
filter_input()函数，它提供了更强大的过滤功能。
$name = filter_input(INPUT_GET, 'name', FILTER_SANITIZE_STRING);
if ($name !== null) {
echo "Hello, " . $name;
}FILTER_SANITIZE_STRING过滤器可以去除字符串中的HTML标签和特殊字符。
parse_str()
函数有什么安全风险？
parse_str()函数在早期的PHP版本中存在安全风险，因为它会直接将查询字符串解析到全局变量中，可能会覆盖已有的变量。
例如，如果你的代码中已经定义了一个变量
$name，然后你使用
parse_str()解析一个包含
name参数的查询字符串，那么
$name变量的值会被覆盖。
为了避免这个问题，最好总是将
parse_str()的第二个参数设置为一个数组，这样就可以将查询字符串解析到数组中，而不是全局变量中。
$query_string = "name=John&age=30"; $params = []; // 初始化一个空数组 parse_str($query_string, $params); echo $params['name']; // 输出 John
这样可以避免变量覆盖的风险。
如何处理复杂的嵌套查询字符串？
有时候，查询字符串可能会包含嵌套的数组或对象。例如：
items[0][name]=Apple&items[0][price]=1.0&items[1][name]=Banana&items[1][price]=0.5。
PHP的
$_GET和
parse_str()函数可以自动处理这种嵌套的查询字符串，将它们解析成多维数组。
$query_string = "items[0][name]=Apple&items[0][price]=1.0&items[1][name]=Banana&items[1][price]=0.5"; parse_str($query_string, $params); echo $params['items'][0]['name']; // 输出 Apple echo $params['items'][1]['price']; // 输出 0.5
但是，需要注意的是，PHP的
max_input_vars配置项限制了可以解析的输入变量的数量。如果查询字符串中包含的变量数量超过了
max_input_vars的限制，那么超出的变量会被忽略。你可以在
php.ini文件中修改
max_input_vars的值，或者在代码中使用
ini_set()函数临时修改。
ini_set('max_input_vars', 2000); // 设置最大输入变量数为2000总而言之，处理URL查询字符串需要注意安全性和性能，选择合适的方法，并进行适当的过滤和转义。
