PHP parse_str 如何接收重复参数：方括号命名、覆盖规则与输入边界

处理筛选表单或回调参数时，最容易误判的是“同名参数会不会自动变成数组”。在 PHP 的 parse_str() 里，item=red&item=blue 最终只保留后一个值；要接收多个值，参数名必须写成 item[]=red&item[]=blue，并把结果放进显式数组。这样既能看清输入形状，也不会把参数直接变成当前作用域变量。

需要接收重复参数时，用方括号表达数组，并始终调用 parse_str($query, $result)；普通同名键按后出现的值覆盖，数量过多还会受 max_input_vars 限制。

先把查询字符串当成不可信输入

parse_str() 会按 URL 查询字符串规则解码输入，因此结果里的值仍应当按业务字段重新校验。官方手册还明确建议使用第二个参数；不传结果数组的旧写法在 PHP 7.2 起已弃用，PHP 8 起参数变成必需。

 string(1) "2"
// ["keyword"]=> string(11) "php 教程"
?>

这里的 page 仍是字符串，不要因为它看起来像数字就跳过范围检查。应用层可以在读取后使用 filter_var() 或显式的 ctype_digit()、范围判断，把“解析成功”和“业务可用”分开。

同名参数为什么只剩最后一个值

假设筛选器把多个颜色拼成了普通重复键：

这不是数组追加，而是后面的值覆盖前面的值。调用链可以概括为：query string 进入 parse_str()，普通键写入 result，再次遇到同名键后覆盖旧值。签名接口若把重复键当成多选，丢值会让权限、筛选条件或回调状态出现隐蔽偏差。

方括号命名如何稳定接收多个值

发送端需要明确表达数组结构：

空方括号按出现顺序生成数组下标，命名方括号则形成嵌套键。前端表单的 name="color[]"、手写 URL 和 http_build_query() 应保持同一种约定；不要一边发送 color=red&color=blue，一边在服务端假设它一定是列表。

键名转换与输入数量边界

参数名中的空格和点号会转换成下划线。例如 user.name=alice 解析后键名是 user_name。如果业务协议把点号当作有意义的字段路径，必须在协议层避免这种命名，不能等解析后再猜原始键名。

另一个容易漏掉的边界是 max_input_vars。parse_str() 受该配置影响，超过限制时会发出 E_WARNING，超出部分不会写入结果数组。数量上限不是数组元素的安全校验，应用仍需限制单字段长度、允许的键集合和嵌套深度。

把覆盖和截断都写进验证清单

接口测试至少覆盖四种字符串：普通重复键、空方括号、命名方括号和超过配置上限的输入。测试断言不要只检查 HTTP 200，还要检查数组键是否存在、元素数量是否完整，以及是否出现意外的下划线键名。

常见问题

parse_str() 为什么必须传第二个参数？

PHP 8 起第二个参数是必需的。显式接收结果能避免把外部输入写成当前作用域变量，也更便于统一校验。

怎样让多个同名参数变成数组？

在参数名后使用方括号，例如 ids[]=10&ids[]=20；不要依赖普通同名键自动累积。

max_input_vars 超限后能否从结果数组恢复？

不能。超出限制的变量不会进入结果数组，应在入口限制请求规模并通过日志和测试发现截断。

结语：先固定输入协议，再解析

parse_str() 解决的是字符串到数组的语法转换，不替应用决定字段类型和业务合法性。把重复参数写成方括号、把结果放进显式数组，再对键名、数量和字段值做白名单校验，才是可维护的 PHP 输入边界。