可变变量是用字符串值作为变量名，如$$a表示以$a的值为名的变量；仅适用于普通变量，不支持超全局数组；易导致可读性差、调试困难、安全风险高，应优先使用数组或对象属性替代。
可变变量就是用字符串当变量名
PHP里$$a不是写错了，是真能用——它表示“把$a的值当作另一个变量的名字”。比如$a = 'user'; $$a = 'admin';，等价于$user = 'admin';。本质是两层解引用：先取$a的值，再拿那个值当变量名去读/写。
- 只对普通变量有效，不能用于
$_GET、$_POST这类超全局数组直接套$$（会报Notice: Undefined variable） - 函数作用域内使用时，如果目标变量未声明为
global，$$a写入的是局部副本，外部看不到 - 动态构造变量名在模板渲染、配置映射等场景偶尔有用，但多数时候是代码可读性杀手
可变函数和可变变量不是一回事
$func = 'strlen'; $func('hello'); 这叫可变函数；$$a才是可变变量。两者都靠字符串驱动，但操作对象不同：一个是调用函数，一个是访问变量。别混成“都是动态命名”，它们底层机制、错误表现、调试难度完全不同。
- 可变函数失败时抛
Fatal error: Uncaught Error: Call to undefined function，而可变变量错是Notice: Undefined variable或静默失败 -
get_defined_functions()能查到所有可用函数名，但get_defined_vars()返回的是当前作用域变量快照，不包含未来会被$$创建的变量 - 用
isset(${$name})判断可变变量是否存在比直接if (${$name})安全，避免触发Notice
为什么线上项目几乎不用可变变量
静态分析工具（如PHPStan、Psalm）基本无法跟踪$$行为，IDE自动补全失效，debug时var_dump看不出来哪个变量被$$悄悄改了——它让变量名脱离源码文本，变成运行时拼出来的字符串。
- 重构风险极高：改一个字符串字面量，可能意外影响几十个地方的变量逻辑
- PHP 8.2+ 对某些
$$用法加了弃用警告（比如对表达式结果做可变变量），升级时容易崩 - 替代方案更清晰：用关联数组
$data['user'] = 'admin'，或对象属性$obj->user = 'admin'，语义明确且可被类型系统约束
真要用，至少避开这几个坑
如果绕不开（比如维护老系统、对接特定DSL），必须守住底线：
立即学习“PHP免费学习笔记（深入）”；
- 绝不把用户输入（如
$_GET['field']）直接喂给$$，否则等于开放远程变量覆盖漏洞 - 限定白名单：
$allowed = ['name', 'email', 'phone']; if (in_array($key, $allowed)) { $$key = $value; } - 写完立刻加注释，例如
// $${$prefix}_id ← 动态生成 user_id / admin_id 变量，仅此处使用 - 别嵌套三层以上：
$$$a理论上可行，但没人能现场看懂它到底在干啥
真正难的不是语法怎么写，而是下个月你或同事打开这段代码时，能不能三秒内确认所有$$路径是否可控、是否遗漏边界检查。
