每年金三银四的跳槽季和春招季都会有不少学弟学妹翻出往年的校招真题来练手。其中京东2019春招的这套PHP开发类试卷虽然过去几年了但含金量依旧很高很能反映一线互联网公司对校招PHP工程师的考察偏好。和那些背一背就能过的八股文不同这份试卷更看重你是否具备真实的工程落地能力而不是停留在会写几个函数和语法层面。今天我就以复盘的形式把这套试卷涉及的高频考点、我当时的答题思路以及后续工作中验证过的正确解法都梳理一遍希望能给正在准备PHP面试的朋友一些参考。1. 京东春招PHP试卷的考察思路与整体结构1.1 为什么一份往年的试卷仍值得反复研究我记得当时很多同学拿到这套试卷的第一反应是“怎么这么多场景题”。它不像普通刷题网站那样只考纯语法而是把PHP基础、MySQL查询、Redis缓存、网络安全和框架源码全部揉进真实业务场景里。这也是大厂校招的典型风格他们不缺会写代码的人缺的是能直接上手项目、具备独立排查问题能力的准工程师。所以这套试卷的意义恰恰在于帮你建立从“学会PHP”到“用好PHP”的思维转变。1.2 试卷的分值分布与侧重方向整套试卷大致可以分成六个模块PHP语言基础与面向对象、MySQL数据库设计与优化、Redis与缓存应用、计算机网络与Web安全、主流框架尤其是ThinkPHP使用、以及最后的算法与系统设计题。从分值占比来看数据库和缓存相关题目占了大头这也符合电商业务高并发、大促场景下对数据可靠性和性能的要求。如果你在复习时只盯着语法题大概率会在后半部分的场景题上吃大亏。2. 高频考点拆解PHP语言基础与面向对象2.1 弱类型与变量作用域陷阱试卷里最容易丢分的选择题试卷前面的选择题一般不会太复杂但陷阱极其密集。比如最常见的弱类型比较问题$a 10; $b 5; echo $a $b;的结果是什么很多人凭直觉以为是字符串拼接但在PHP里加减运算符会把两侧操作数转为数值型所以结果是15而不是105。这类题考的就是你对PHP弱类型底层转换规则的掌握程度。再比如作用域问题。我当时遇到一道题是判断函数内能否访问全局变量很多初学者会直接写$num 10; function test() { echo $num; }然后想当然以为能输出10。但PHP中函数内默认无法访问全局变量必须使用global关键字或$GLOBALS数组才能拿到。这类知识在工程中确实常用只是写业务代码时大家很少刻意关注所以放到笔试里反而成了拉分项。// 典型题目输出结果是什么 $count 0; function increment() { global $count; $count; } increment(); echo $count; // 输出 12.2 引用赋值与foreach遍历一道容易让老手也翻车的题试卷里还有一道关于引用和foreach组合的题我印象特别深。题目大概是遍历数组时用$value修改每个元素的值然后再用普通的foreach遍历一次问最终数组内容是什么。第一次写这道题的人很容易忽略一个关键点foreach ($arr as $value)循环结束后$value仍然是数组中最后一个元素的引用后续如果再次使用$value变量就会意外修改原数组的最后一个元素。$arr [1, 2, 3]; foreach ($arr as $value) {} foreach ($arr as $value) {} print_r($arr); // 结果是 [1, 2, 2]而不是 [1, 2, 3]这个坑在工程代码里经常出现尤其是循环里复用变量名时。我在后来的代码评审里也见过不少次所以笔试考这个其实是提醒开发者要养成unset($value)的好习惯避免残留引用。2.3 魔术方法与设计模式不止于“背定义”京东试卷在面向对象部分的考察明显更偏实用比如__construct、__destruct、__get、__set、__call等魔术方法的触发时机以及单例模式、工厂模式在框架中的典型应用。这里我想特别说下单例模式几乎每一次PHP面试都会遇到试卷里可能会让你写一个线程安全的单例类或者要求分析某个框架中数据库连接为何要用单例。class Database { private static $instance null; private function __construct() {} private function __clone() {} public static function getInstance() { if (self::$instance null) { self::$instance new self(); } return self::$instance; } }很多人能背出代码却说不清为什么要私有化构造函数和克隆方法。其实核心就两点外部不能直接new防止产生多个连接实例不能clone防止复制出意外状态。面试官要的是这种“知其所以然”的回答而不只是默写代码。3. 数据库与缓存SQL优化和Redis应用的实战考察3.1 索引失效与慢查询排查这道题几乎必考数据库部分最常出现的题目是给出一张订单表要求分析某条查询语句为什么慢并写出优化方案。典型题目如下SELECT * FROM orders WHERE user_id 100 AND status 1 ORDER BY create_time DESC LIMIT 10;这条SQL在大数据量下往往性能很差。如果只给user_id建了索引而status没进索引或者索引顺序是(status, user_id)那么查询时就会产生多余的回表甚至全表扫描。正确的优化思路是建立一个联合索引(user_id, status, create_time)。这里需要理解最左前缀原则索引从最左列开始匹配所以user_id要放在第一位。同时因为查询中涉及ORDER BY create_time把create_time也放进联合索引可以利用索引的有序性避免额外的文件排序。如果业务上只关心订单编号还可以改成覆盖索引只查询索引列彻底避免回表。ALTER TABLE orders ADD INDEX idx_user_status_time (user_id, status, create_time); EXPLAIN SELECT order_id FROM orders WHERE user_id 100 AND status 1 ORDER BY create_time DESC LIMIT 10;我在实际工作中也养成了一个习惯任何慢SQL都要先跑一遍EXPLAIN重点看type、key、rows和Extra四列。如果type是ALL说明在扫全表如果Extra里出现Using filesort或Using temporary通常就是索引没建好或SQL写法有问题。3.2 缓存雪崩、穿透与击穿从概念到解决方案这套试卷对Redis的考察不深但很接地气。比如问“缓存穿透”是什么怎么解决。穿透指的是查询一个根本不存在的数据缓存和数据库都没有导致每次请求都打到数据库上。解决办法常见的有两个如果数据量不大先把空值也缓存起来设置较短的过期时间如果数据量很大就使用布隆过滤器在请求到达数据库之前快速判断key是否可能存在。击穿和雪崩也经常放在一起考。击穿是指某个热点key过期瞬间大量请求同时打到数据库雪崩是指大量key在同一时间段过期引发数据库压力骤增。解决击穿可以用互斥锁只放一个请求去重建缓存其他请求等待解决雪崩可以在设置过期时间时加入随机值让过期时间分散开同时Redis本身要做高可用部署避免单点故障。缓存设计时应遵循“三级防护”思路 1. 先说缓存先查Redis命中则直接返回。 2. 再说数据库未命中时查MySQL并回填Redis。 3. 最后兜底热点数据提前预热空结果做好标记。3.3 分布式锁的简单实现与注意点有一道题让我印象挺深用Redis实现一个分布式锁。最简单的方案是SET key value NX EX 10利用NX保证同一时刻只有一个客户端能设置成功EX设置过期时间防止客户端崩溃导致死锁。但这里有个隐藏问题如果业务执行时间超过了锁的过期时间锁会被自动释放导致其他客户端获取到锁产生并发问题。所以更稳妥的做法是引入看门狗机制在锁快过期时自动续期或者把锁的value设置为唯一标识释放时检查是否是自己持有的锁避免误删别人的锁。// 一个稳妥的加锁思路 $lockKey lock:order: . $orderId; $token uniqid(); $result $redis-set($lockKey, $token, [NX, EX 10]); if ($result) { try { // 执行业务逻辑 } finally { // 释放锁前先校验token防止误删 if ($redis-get($lockKey) $token) { $redis-del($lockKey); } } }4. 计算机网络与安全PHP开发者不能丢的分4.1 HTTP状态码、会话机制与跨域方案这部分内容是Web开发者的基本功笔试一定会涉及。比如状态码的区分301是永久重定向302是临时重定向403是禁止访问500是服务器内部错误502是网关错误504是网关超时。做PHP开发时调试接口经常要和这些状态码打交道如果你连502和504都分不清面试官很容易怀疑你的线上排查能力。Session与Cookie的关系也是老生常谈但每次都有考生答不好。Session数据保存在服务端客户端只保存一个Session ID通常存在Cookie里PHP默认的Session存储是文件但在多机部署时文件Session会失效所以需要把Session存到Redis或数据库中。这也是实际开发里很重要的一个扩展点。跨域问题在前后端分离的项目里尤其常见。试卷中可能会问JSONP和CORS的区别。JSONP的原理是利用script标签不受同源策略限制这一点动态创建script标签回调函数处理返回数据它只能支持GET请求。CORS则是通过服务器在响应头里加Access-Control-Allow-Origin来实现跨域支持GET、POST等各种方法是现代前后端分离的首选方案。// CORS响应头示例 header(Access-Control-Allow-Origin: https://example.com); header(Access-Control-Allow-Methods: GET, POST, OPTIONS); header(Access-Control-Allow-Headers: Content-Type, Authorization);4.2 PHP安全SQL注入、XSS、CSRF与文件上传安全题在京东这类电商公司的试卷里占比不低。SQL注入的核心原因是开发者拼接用户输入到SQL语句中比如SELECT * FROM users WHERE username $name当$name是 OR 11时就会绕过验证。最有效的防护是使用PDO预处理语句让参数和SQL模板分离而不是简单地对输入做转义。// 使用PDO预处理防止SQL注入 $stmt $pdo-prepare(SELECT * FROM users WHERE username ? AND password ?); $stmt-execute([$username, $password]);XSS则分为反射型、存储型和DOM型核心是未过滤的用户输入被当作HTML或JavaScript输出到页面。微信小程序、H5活动页里这类问题尤其常见。解决方案是对输出内容进行HTML实体编码比如把转成lt;转成gt;同时对于富文本内容要使用白名单过滤。CSRF的经典场景是用户在登录状态下访问了恶意网站恶意网站伪造请求去修改密码或发起转账。防御手段通常是校验请求来源Referer、加Token、二次验证。PHP中常见的做法是生成一个随机的CSRF Token并存在Session中表单提交时校验Token是否一致。文件上传是另一个容易出问题的点。常见的攻击方式是上传一个伪装成图片的PHP文件然后通过路径访问触发代码执行。安全的做法包括校验文件扩展名和MIME类型、将上传文件存储在Web目录之外、重命名文件避免用户控制文件名、限制文件大小、检查文件内容头部信息等。实际开发中我还会把上传目录的PHP执行权限直接禁掉从根上杜绝脚本执行。4.3 PHP伪协议与反序列化试卷里隐藏的进阶考点这套试卷里有一个让不少人挠头的考点PHP伪协议。实际上在很多CTF题目里也经常出现比如[极客大挑战 2019]php这类题目就用到了php://filter读取源码。试卷中通常会给一段代码让你分析能否读取任意文件或写入日志。核心是熟悉php://input、php://filter、data://等伪协议的特性。比如php://filter/readconvert.base64-encode/resourceflag.php可以读取源码的Base64编码绕过?php标签直接执行的限制。反序列化漏洞也是安全方向的重点。当用户可控的数据被反序列化时如果类中定义了__wakeup或__destruct这类魔术方法攻击者可能构造特殊对象触发危险操作。试卷中可能给出一段反序列化代码让你找出漏洞点。复习时要重点关注魔术方法的调用时机以及unserialize()函数的参数是否可控。5. 主流框架与工程化ThinkPHP、Composer、运行原理5.1 ThinkPHP 3.2.3考点从路由到ORM作为曾经国内中小项目使用率极高的框架ThinkPHP 3.2.3在当年的试卷里出现频率相当高。考得最多的是它的路由配置、I()函数、M()和D()方法的区别以及模板引擎里的volist标签。这里有个很容易答错的地方M()方法直接实例化模型不加载对应的模型类文件而D()方法会优先加载用户自定义模型类如果不存在才回退到基础模型。在复杂业务中建议使用D()因为它允许你在模型层写业务逻辑。ThinkPHP 3.2.3是基于PHP 5.3开发的虽然现在看来版本较老但它所体现的MVC分层思想、URL路由映射、ORM映射等概念至今仍是PHP框架的主流范式。试卷里常会让考生写一条自定义路由规则或者解释U()方法的用法。掌握这些知识点不仅是为了应付笔试更是为了理解现代PHP框架的整体设计思路。5.2 Composer自动加载与PSR-4规范还有一类题是考察工程化能力的比如Composer的自动加载原理。我之前实习时第一次看vendor/autoload.php里那些代码也觉得是一堆“魔法”后来才明白核心是PSR-4规范。PSR-4规定命名空间和目录有对应关系比如App\Service\UserService对应src/Service/UserService.phpComposer会生成一份命名空间到目录的映射关系在类被第一次使用时才通过spl_autoload_register()注册的自动加载函数去加载对应文件。{ autoload: { psr-4: { App\\: src/, Tests\\: tests/ } } }composer dump-autoload理解这个机制后你写代码时就不再需要通过require或include手动引入文件了这在大项目里能省掉大量重复代码也更符合现代PHP开发的规范。还有一点要留意试卷可能问你composer install和composer update的区别。前者根据composer.lock文件安装锁定版本的依赖保证线上和开发环境一致后者会更新依赖到符合composer.json约束的最新版本一般只在开发和升级依赖时使用线上部署不建议直接执行composer update。5.3 PHP-FPM运行原理与Nginx协同工作围绕“PHP如何响应请求”这类题目我也在试卷中见过。首先要弄清楚Nginx和PHP-FPM的关系Nginx负责接收HTTP请求遇到.php文件时通过FastCGI协议把请求转发给PHP-FPM进程PHP-FPM执行脚本后将结果返回给Nginx再由Nginx返回给客户端。如果PHP-FPM进程数不足高并发下就会出现502 Bad Gateway如果某个PHP脚本执行时间过长也可能引发504 Gateway Timeout。配置PHP-FPM时pm.max_children是一个非常关键的参数。它表示最大子进程数设置太大会占用过多内存设置太小则无法支撑并发。一个粗略的计算方式max_children ≈ 服务器可用内存 / 单个PHP进程平均内存占用。比如一台2GB内存的服务器单个PHP-FPM进程占用约40MB那么max_children大约为50。当然这只是一个起步值还需要结合压测结果和业务实际情况调整。[www] listen 127.0.0.1:9000 pm dynamic pm.max_children 50 pm.start_servers 10 pm.min_spare_servers 5 pm.max_spare_servers 206. 笔试题型实战选择题、编程题与系统设计题6.1 典型选择题避坑与快速判断技巧选择题部分除了前面提到的弱类型和作用域还有几个高频坑值得单独列出来。比如数组函数array_merge和运算符的区别。array_merge对于字符串键名后面的值会覆盖前面的值对于数字键名不会覆盖而是重新编号追加到后面。而运算符是“左优先”相同键名会保留左侧的值。这类细节不常写但笔试爱考。另一个高频考点是isset、empty、is_null三者的区别。很多人会混淆其实规则很简单函数判断方式常见返回值isset($var)变量存在且不为nullfalse时表示变量为null或不存在empty($var)变量存在且不等于falsefalse时表示变量为0、0、、null、[]、未定义is_null($var)变量是否为nulltrue时表示变量为null或未定义我在笔试时总结过一套快速判断方法如果题目问“变量未定义或值为null哪个函数不会报错”就选isset或empty因为它们对未定义变量不报错如果问“判断空数组”用empty最合适。6.2 手写代码题用PHP实现一个队列编程题里有一道基础但很经典的题目用PHP实现一个队列。有些同学会直接写在数组里用array_push和array_shift这当然可以但面试官更期待你考虑到性能。array_shift会重新索引整个数组在数据量大时效率很低。更好的做法是用双指针或链表结构。class Queue { private $queue []; private $head 0; private $tail 0; public function enqueue($item) { $this-queue[$this-tail] $item; } public function dequeue() { if ($this-isEmpty()) { return null; } $item $this-queue[$this-head]; unset($this-queue[$this-head]); $this-head; return $item; } public function isEmpty() { return $this-head $this-tail; } }使用双指针可以避免每次都重新索引数组而且整体思路很容易迁移到其他语言。其实这道题背后还有一层隐含意思队列是很多异步系统和消息中间件的基础模型比如Redis的列表结构、RabbitMQ里的消息投递本质上都依赖先进先出的语义。写在试卷里不只是让你“用数组做队列”更是考察你对数据结构本质的理解。6.3 系统设计题高并发下的秒杀系统这套试卷的压轴题基本是系统设计我遇到的版本是“设计一个秒杀系统保证不超卖且对大流量友好”。这种题考察的是综合能力需要把前面所有知识点连起来。我的答题思路一般分四层前端层按钮置灰、随机禁止刷新拦截大部分无效请求。接口层使用Redis做限流例如通过INCR和EXPIRE实现计数器每用户每秒钟最多请求一次再使用接口签名校验防止恶意刷单。库存层把库存预热到Redis用DECR原子扣减扣减成功后再发送MQ消息异步创建订单。数据层数据库最终通过MQ消费者异步落库保证最终一致性。重点在于不能每笔请求都直接操作数据库否则并发一上来数据库直接被打爆。前端限流 → API层Redis限流签名 → 库存层Redis原子扣减 → MQ异步处理 → 数据库落库系统设计题的核心其实是“让每个环节只干最擅长的事”。前端负责过滤无效流量Redis负责扛住瞬时热点MQ负责削峰填谷数据库负责最终落盘。理解了这条链路无论题目换成“秒杀”还是“抢红包”“预约抢购”你都能举一反三。7. 实话实说从这套试卷看校招备考建议7.1 刷题之外还需要补哪些能力我在准备大厂面试时看过很多经验帖但真正让我从“会做题”变成“能做事”的是三个方面的刻意练习第一是项目经历的深度复盘。试卷只能考零碎的知识点但面试官在技术面时会深挖你写在简历上的项目。比如你做过一个商城项目他会问你订单超时未支付关闭怎么实现消息队列挂掉怎么办缓存和数据库一致性如何保证。这些问题没有标准答案但你需要展示出清晰的思路和排查过真实问题后的思考。第二是Linux和运维基础。平时用宝塔面板或用Docker搭环境是一回事但面试时可能会要求你手动部署一个PHP项目配置Nginx站点、安装PHP扩展、调整PHP-FPM参数、排查端口占用。不要觉得这些是运维的事对中小团队来说PHP工程师常常要兼任运维。哪怕是校招面试官也会关注你是否有基本的服务器操作能力。第三是代码风格和开发规范。笔试手写代码时要注意变量命名、函数拆分、注释清晰不要只求能跑。面试官看你的代码其实和看你的写字一样一眼就能判断你是随手写还是认真思考过的。我在试卷里答编程题时会先把函数签名和数据结构的思路写在前面再写实现这样就算有Bug面试官也能看到我的思路。7.2 备考路上踩过的坑和一点心里话说了这么多干货再分享几个我当年踩过的坑给大家提个醒。第一个坑是只刷题不写代码。纸面看懂和真正能在IDE里跑通是两回事试卷里出现的单例模式、队列实现、预处理语句我都建议你亲手敲一遍。敲的时候你就会发现很多以为自己会了的方法实际写出来可能连语法都不过关。第二个坑是忽视数学和算法基础。PHP岗位的笔试题一般不会像算法岗那么难但基本的排序、链表、二叉树还是要掌握。我当时就因为觉得PHP业务开发用不到算法差点在一道“查找数组中出现次数超过一半的数字”的题上翻车。后来我把经典排序和常见数据结构都过了一遍心里才有底。第三个坑是不重视表达。笔试只是第一关面试时的白板编程和项目讲解同样重要。建议你在准备时找同学或朋友模拟面试把“为什么用Redis做分布式锁”“联合索引为什么能优化查询”这类问题大声讲出来。讲不出来的地方就是你还没真正理解的地方。最后想和准备校招的朋友说一句掏心窝的话一份试卷只能代表某个时间点的考察风格但底层的能力要求是比较稳定的。与其到处找“押题”不如把PHP基础、MySQL索引、Redis使用、网络安全、主流框架这些主线知识踏踏实实过一遍。做好这些不管题目怎么换你都能保持稳定发挥。祝顺利上岸。
每年金三银四的跳槽季和春招季都会有不少学弟学妹翻出往年的校招真题来练手。其中京东2019春招的这套PHP开发类试卷虽然过去几年了但含金量依旧很高很能反映一线互联网公司对校招PHP工程师的考察偏好。和那些背一背就能过的八股文不同这份试卷更看重你是否具备真实的工程落地能力而不是停留在会写几个函数和语法层面。今天我就以复盘的形式把这套试卷涉及的高频考点、我当时的答题思路以及后续工作中验证过的正确解法都梳理一遍希望能给正在准备PHP面试的朋友一些参考。1. 京东春招PHP试卷的考察思路与整体结构1.1 为什么一份往年的试卷仍值得反复研究我记得当时很多同学拿到这套试卷的第一反应是“怎么这么多场景题”。它不像普通刷题网站那样只考纯语法而是把PHP基础、MySQL查询、Redis缓存、网络安全和框架源码全部揉进真实业务场景里。这也是大厂校招的典型风格他们不缺会写代码的人缺的是能直接上手项目、具备独立排查问题能力的准工程师。所以这套试卷的意义恰恰在于帮你建立从“学会PHP”到“用好PHP”的思维转变。1.2 试卷的分值分布与侧重方向整套试卷大致可以分成六个模块PHP语言基础与面向对象、MySQL数据库设计与优化、Redis与缓存应用、计算机网络与Web安全、主流框架尤其是ThinkPHP使用、以及最后的算法与系统设计题。从分值占比来看数据库和缓存相关题目占了大头这也符合电商业务高并发、大促场景下对数据可靠性和性能的要求。如果你在复习时只盯着语法题大概率会在后半部分的场景题上吃大亏。2. 高频考点拆解PHP语言基础与面向对象2.1 弱类型与变量作用域陷阱试卷里最容易丢分的选择题试卷前面的选择题一般不会太复杂但陷阱极其密集。比如最常见的弱类型比较问题$a 10; $b 5; echo $a $b;的结果是什么很多人凭直觉以为是字符串拼接但在PHP里加减运算符会把两侧操作数转为数值型所以结果是15而不是105。这类题考的就是你对PHP弱类型底层转换规则的掌握程度。再比如作用域问题。我当时遇到一道题是判断函数内能否访问全局变量很多初学者会直接写$num 10; function test() { echo $num; }然后想当然以为能输出10。但PHP中函数内默认无法访问全局变量必须使用global关键字或$GLOBALS数组才能拿到。这类知识在工程中确实常用只是写业务代码时大家很少刻意关注所以放到笔试里反而成了拉分项。// 典型题目输出结果是什么 $count 0; function increment() { global $count; $count; } increment(); echo $count; // 输出 12.2 引用赋值与foreach遍历一道容易让老手也翻车的题试卷里还有一道关于引用和foreach组合的题我印象特别深。题目大概是遍历数组时用$value修改每个元素的值然后再用普通的foreach遍历一次问最终数组内容是什么。第一次写这道题的人很容易忽略一个关键点foreach ($arr as $value)循环结束后$value仍然是数组中最后一个元素的引用后续如果再次使用$value变量就会意外修改原数组的最后一个元素。$arr [1, 2, 3]; foreach ($arr as $value) {} foreach ($arr as $value) {} print_r($arr); // 结果是 [1, 2, 2]而不是 [1, 2, 3]这个坑在工程代码里经常出现尤其是循环里复用变量名时。我在后来的代码评审里也见过不少次所以笔试考这个其实是提醒开发者要养成unset($value)的好习惯避免残留引用。2.3 魔术方法与设计模式不止于“背定义”京东试卷在面向对象部分的考察明显更偏实用比如__construct、__destruct、__get、__set、__call等魔术方法的触发时机以及单例模式、工厂模式在框架中的典型应用。这里我想特别说下单例模式几乎每一次PHP面试都会遇到试卷里可能会让你写一个线程安全的单例类或者要求分析某个框架中数据库连接为何要用单例。class Database { private static $instance null; private function __construct() {} private function __clone() {} public static function getInstance() { if (self::$instance null) { self::$instance new self(); } return self::$instance; } }很多人能背出代码却说不清为什么要私有化构造函数和克隆方法。其实核心就两点外部不能直接new防止产生多个连接实例不能clone防止复制出意外状态。面试官要的是这种“知其所以然”的回答而不只是默写代码。3. 数据库与缓存SQL优化和Redis应用的实战考察3.1 索引失效与慢查询排查这道题几乎必考数据库部分最常出现的题目是给出一张订单表要求分析某条查询语句为什么慢并写出优化方案。典型题目如下SELECT * FROM orders WHERE user_id 100 AND status 1 ORDER BY create_time DESC LIMIT 10;这条SQL在大数据量下往往性能很差。如果只给user_id建了索引而status没进索引或者索引顺序是(status, user_id)那么查询时就会产生多余的回表甚至全表扫描。正确的优化思路是建立一个联合索引(user_id, status, create_time)。这里需要理解最左前缀原则索引从最左列开始匹配所以user_id要放在第一位。同时因为查询中涉及ORDER BY create_time把create_time也放进联合索引可以利用索引的有序性避免额外的文件排序。如果业务上只关心订单编号还可以改成覆盖索引只查询索引列彻底避免回表。ALTER TABLE orders ADD INDEX idx_user_status_time (user_id, status, create_time); EXPLAIN SELECT order_id FROM orders WHERE user_id 100 AND status 1 ORDER BY create_time DESC LIMIT 10;我在实际工作中也养成了一个习惯任何慢SQL都要先跑一遍EXPLAIN重点看type、key、rows和Extra四列。如果type是ALL说明在扫全表如果Extra里出现Using filesort或Using temporary通常就是索引没建好或SQL写法有问题。3.2 缓存雪崩、穿透与击穿从概念到解决方案这套试卷对Redis的考察不深但很接地气。比如问“缓存穿透”是什么怎么解决。穿透指的是查询一个根本不存在的数据缓存和数据库都没有导致每次请求都打到数据库上。解决办法常见的有两个如果数据量不大先把空值也缓存起来设置较短的过期时间如果数据量很大就使用布隆过滤器在请求到达数据库之前快速判断key是否可能存在。击穿和雪崩也经常放在一起考。击穿是指某个热点key过期瞬间大量请求同时打到数据库雪崩是指大量key在同一时间段过期引发数据库压力骤增。解决击穿可以用互斥锁只放一个请求去重建缓存其他请求等待解决雪崩可以在设置过期时间时加入随机值让过期时间分散开同时Redis本身要做高可用部署避免单点故障。缓存设计时应遵循“三级防护”思路 1. 先说缓存先查Redis命中则直接返回。 2. 再说数据库未命中时查MySQL并回填Redis。 3. 最后兜底热点数据提前预热空结果做好标记。3.3 分布式锁的简单实现与注意点有一道题让我印象挺深用Redis实现一个分布式锁。最简单的方案是SET key value NX EX 10利用NX保证同一时刻只有一个客户端能设置成功EX设置过期时间防止客户端崩溃导致死锁。但这里有个隐藏问题如果业务执行时间超过了锁的过期时间锁会被自动释放导致其他客户端获取到锁产生并发问题。所以更稳妥的做法是引入看门狗机制在锁快过期时自动续期或者把锁的value设置为唯一标识释放时检查是否是自己持有的锁避免误删别人的锁。// 一个稳妥的加锁思路 $lockKey lock:order: . $orderId; $token uniqid(); $result $redis-set($lockKey, $token, [NX, EX 10]); if ($result) { try { // 执行业务逻辑 } finally { // 释放锁前先校验token防止误删 if ($redis-get($lockKey) $token) { $redis-del($lockKey); } } }4. 计算机网络与安全PHP开发者不能丢的分4.1 HTTP状态码、会话机制与跨域方案这部分内容是Web开发者的基本功笔试一定会涉及。比如状态码的区分301是永久重定向302是临时重定向403是禁止访问500是服务器内部错误502是网关错误504是网关超时。做PHP开发时调试接口经常要和这些状态码打交道如果你连502和504都分不清面试官很容易怀疑你的线上排查能力。Session与Cookie的关系也是老生常谈但每次都有考生答不好。Session数据保存在服务端客户端只保存一个Session ID通常存在Cookie里PHP默认的Session存储是文件但在多机部署时文件Session会失效所以需要把Session存到Redis或数据库中。这也是实际开发里很重要的一个扩展点。跨域问题在前后端分离的项目里尤其常见。试卷中可能会问JSONP和CORS的区别。JSONP的原理是利用script标签不受同源策略限制这一点动态创建script标签回调函数处理返回数据它只能支持GET请求。CORS则是通过服务器在响应头里加Access-Control-Allow-Origin来实现跨域支持GET、POST等各种方法是现代前后端分离的首选方案。// CORS响应头示例 header(Access-Control-Allow-Origin: https://example.com); header(Access-Control-Allow-Methods: GET, POST, OPTIONS); header(Access-Control-Allow-Headers: Content-Type, Authorization);4.2 PHP安全SQL注入、XSS、CSRF与文件上传安全题在京东这类电商公司的试卷里占比不低。SQL注入的核心原因是开发者拼接用户输入到SQL语句中比如SELECT * FROM users WHERE username $name当$name是 OR 11时就会绕过验证。最有效的防护是使用PDO预处理语句让参数和SQL模板分离而不是简单地对输入做转义。// 使用PDO预处理防止SQL注入 $stmt $pdo-prepare(SELECT * FROM users WHERE username ? AND password ?); $stmt-execute([$username, $password]);XSS则分为反射型、存储型和DOM型核心是未过滤的用户输入被当作HTML或JavaScript输出到页面。微信小程序、H5活动页里这类问题尤其常见。解决方案是对输出内容进行HTML实体编码比如把转成lt;转成gt;同时对于富文本内容要使用白名单过滤。CSRF的经典场景是用户在登录状态下访问了恶意网站恶意网站伪造请求去修改密码或发起转账。防御手段通常是校验请求来源Referer、加Token、二次验证。PHP中常见的做法是生成一个随机的CSRF Token并存在Session中表单提交时校验Token是否一致。文件上传是另一个容易出问题的点。常见的攻击方式是上传一个伪装成图片的PHP文件然后通过路径访问触发代码执行。安全的做法包括校验文件扩展名和MIME类型、将上传文件存储在Web目录之外、重命名文件避免用户控制文件名、限制文件大小、检查文件内容头部信息等。实际开发中我还会把上传目录的PHP执行权限直接禁掉从根上杜绝脚本执行。4.3 PHP伪协议与反序列化试卷里隐藏的进阶考点这套试卷里有一个让不少人挠头的考点PHP伪协议。实际上在很多CTF题目里也经常出现比如[极客大挑战 2019]php这类题目就用到了php://filter读取源码。试卷中通常会给一段代码让你分析能否读取任意文件或写入日志。核心是熟悉php://input、php://filter、data://等伪协议的特性。比如php://filter/readconvert.base64-encode/resourceflag.php可以读取源码的Base64编码绕过?php标签直接执行的限制。反序列化漏洞也是安全方向的重点。当用户可控的数据被反序列化时如果类中定义了__wakeup或__destruct这类魔术方法攻击者可能构造特殊对象触发危险操作。试卷中可能给出一段反序列化代码让你找出漏洞点。复习时要重点关注魔术方法的调用时机以及unserialize()函数的参数是否可控。5. 主流框架与工程化ThinkPHP、Composer、运行原理5.1 ThinkPHP 3.2.3考点从路由到ORM作为曾经国内中小项目使用率极高的框架ThinkPHP 3.2.3在当年的试卷里出现频率相当高。考得最多的是它的路由配置、I()函数、M()和D()方法的区别以及模板引擎里的volist标签。这里有个很容易答错的地方M()方法直接实例化模型不加载对应的模型类文件而D()方法会优先加载用户自定义模型类如果不存在才回退到基础模型。在复杂业务中建议使用D()因为它允许你在模型层写业务逻辑。ThinkPHP 3.2.3是基于PHP 5.3开发的虽然现在看来版本较老但它所体现的MVC分层思想、URL路由映射、ORM映射等概念至今仍是PHP框架的主流范式。试卷里常会让考生写一条自定义路由规则或者解释U()方法的用法。掌握这些知识点不仅是为了应付笔试更是为了理解现代PHP框架的整体设计思路。5.2 Composer自动加载与PSR-4规范还有一类题是考察工程化能力的比如Composer的自动加载原理。我之前实习时第一次看vendor/autoload.php里那些代码也觉得是一堆“魔法”后来才明白核心是PSR-4规范。PSR-4规定命名空间和目录有对应关系比如App\Service\UserService对应src/Service/UserService.phpComposer会生成一份命名空间到目录的映射关系在类被第一次使用时才通过spl_autoload_register()注册的自动加载函数去加载对应文件。{ autoload: { psr-4: { App\\: src/, Tests\\: tests/ } } }composer dump-autoload理解这个机制后你写代码时就不再需要通过require或include手动引入文件了这在大项目里能省掉大量重复代码也更符合现代PHP开发的规范。还有一点要留意试卷可能问你composer install和composer update的区别。前者根据composer.lock文件安装锁定版本的依赖保证线上和开发环境一致后者会更新依赖到符合composer.json约束的最新版本一般只在开发和升级依赖时使用线上部署不建议直接执行composer update。5.3 PHP-FPM运行原理与Nginx协同工作围绕“PHP如何响应请求”这类题目我也在试卷中见过。首先要弄清楚Nginx和PHP-FPM的关系Nginx负责接收HTTP请求遇到.php文件时通过FastCGI协议把请求转发给PHP-FPM进程PHP-FPM执行脚本后将结果返回给Nginx再由Nginx返回给客户端。如果PHP-FPM进程数不足高并发下就会出现502 Bad Gateway如果某个PHP脚本执行时间过长也可能引发504 Gateway Timeout。配置PHP-FPM时pm.max_children是一个非常关键的参数。它表示最大子进程数设置太大会占用过多内存设置太小则无法支撑并发。一个粗略的计算方式max_children ≈ 服务器可用内存 / 单个PHP进程平均内存占用。比如一台2GB内存的服务器单个PHP-FPM进程占用约40MB那么max_children大约为50。当然这只是一个起步值还需要结合压测结果和业务实际情况调整。[www] listen 127.0.0.1:9000 pm dynamic pm.max_children 50 pm.start_servers 10 pm.min_spare_servers 5 pm.max_spare_servers 206. 笔试题型实战选择题、编程题与系统设计题6.1 典型选择题避坑与快速判断技巧选择题部分除了前面提到的弱类型和作用域还有几个高频坑值得单独列出来。比如数组函数array_merge和运算符的区别。array_merge对于字符串键名后面的值会覆盖前面的值对于数字键名不会覆盖而是重新编号追加到后面。而运算符是“左优先”相同键名会保留左侧的值。这类细节不常写但笔试爱考。另一个高频考点是isset、empty、is_null三者的区别。很多人会混淆其实规则很简单函数判断方式常见返回值isset($var)变量存在且不为nullfalse时表示变量为null或不存在empty($var)变量存在且不等于falsefalse时表示变量为0、0、、null、[]、未定义is_null($var)变量是否为nulltrue时表示变量为null或未定义我在笔试时总结过一套快速判断方法如果题目问“变量未定义或值为null哪个函数不会报错”就选isset或empty因为它们对未定义变量不报错如果问“判断空数组”用empty最合适。6.2 手写代码题用PHP实现一个队列编程题里有一道基础但很经典的题目用PHP实现一个队列。有些同学会直接写在数组里用array_push和array_shift这当然可以但面试官更期待你考虑到性能。array_shift会重新索引整个数组在数据量大时效率很低。更好的做法是用双指针或链表结构。class Queue { private $queue []; private $head 0; private $tail 0; public function enqueue($item) { $this-queue[$this-tail] $item; } public function dequeue() { if ($this-isEmpty()) { return null; } $item $this-queue[$this-head]; unset($this-queue[$this-head]); $this-head; return $item; } public function isEmpty() { return $this-head $this-tail; } }使用双指针可以避免每次都重新索引数组而且整体思路很容易迁移到其他语言。其实这道题背后还有一层隐含意思队列是很多异步系统和消息中间件的基础模型比如Redis的列表结构、RabbitMQ里的消息投递本质上都依赖先进先出的语义。写在试卷里不只是让你“用数组做队列”更是考察你对数据结构本质的理解。6.3 系统设计题高并发下的秒杀系统这套试卷的压轴题基本是系统设计我遇到的版本是“设计一个秒杀系统保证不超卖且对大流量友好”。这种题考察的是综合能力需要把前面所有知识点连起来。我的答题思路一般分四层前端层按钮置灰、随机禁止刷新拦截大部分无效请求。接口层使用Redis做限流例如通过INCR和EXPIRE实现计数器每用户每秒钟最多请求一次再使用接口签名校验防止恶意刷单。库存层把库存预热到Redis用DECR原子扣减扣减成功后再发送MQ消息异步创建订单。数据层数据库最终通过MQ消费者异步落库保证最终一致性。重点在于不能每笔请求都直接操作数据库否则并发一上来数据库直接被打爆。前端限流 → API层Redis限流签名 → 库存层Redis原子扣减 → MQ异步处理 → 数据库落库系统设计题的核心其实是“让每个环节只干最擅长的事”。前端负责过滤无效流量Redis负责扛住瞬时热点MQ负责削峰填谷数据库负责最终落盘。理解了这条链路无论题目换成“秒杀”还是“抢红包”“预约抢购”你都能举一反三。7. 实话实说从这套试卷看校招备考建议7.1 刷题之外还需要补哪些能力我在准备大厂面试时看过很多经验帖但真正让我从“会做题”变成“能做事”的是三个方面的刻意练习第一是项目经历的深度复盘。试卷只能考零碎的知识点但面试官在技术面时会深挖你写在简历上的项目。比如你做过一个商城项目他会问你订单超时未支付关闭怎么实现消息队列挂掉怎么办缓存和数据库一致性如何保证。这些问题没有标准答案但你需要展示出清晰的思路和排查过真实问题后的思考。第二是Linux和运维基础。平时用宝塔面板或用Docker搭环境是一回事但面试时可能会要求你手动部署一个PHP项目配置Nginx站点、安装PHP扩展、调整PHP-FPM参数、排查端口占用。不要觉得这些是运维的事对中小团队来说PHP工程师常常要兼任运维。哪怕是校招面试官也会关注你是否有基本的服务器操作能力。第三是代码风格和开发规范。笔试手写代码时要注意变量命名、函数拆分、注释清晰不要只求能跑。面试官看你的代码其实和看你的写字一样一眼就能判断你是随手写还是认真思考过的。我在试卷里答编程题时会先把函数签名和数据结构的思路写在前面再写实现这样就算有Bug面试官也能看到我的思路。7.2 备考路上踩过的坑和一点心里话说了这么多干货再分享几个我当年踩过的坑给大家提个醒。第一个坑是只刷题不写代码。纸面看懂和真正能在IDE里跑通是两回事试卷里出现的单例模式、队列实现、预处理语句我都建议你亲手敲一遍。敲的时候你就会发现很多以为自己会了的方法实际写出来可能连语法都不过关。第二个坑是忽视数学和算法基础。PHP岗位的笔试题一般不会像算法岗那么难但基本的排序、链表、二叉树还是要掌握。我当时就因为觉得PHP业务开发用不到算法差点在一道“查找数组中出现次数超过一半的数字”的题上翻车。后来我把经典排序和常见数据结构都过了一遍心里才有底。第三个坑是不重视表达。笔试只是第一关面试时的白板编程和项目讲解同样重要。建议你在准备时找同学或朋友模拟面试把“为什么用Redis做分布式锁”“联合索引为什么能优化查询”这类问题大声讲出来。讲不出来的地方就是你还没真正理解的地方。最后想和准备校招的朋友说一句掏心窝的话一份试卷只能代表某个时间点的考察风格但底层的能力要求是比较稳定的。与其到处找“押题”不如把PHP基础、MySQL索引、Redis使用、网络安全、主流框架这些主线知识踏踏实实过一遍。做好这些不管题目怎么换你都能保持稳定发挥。祝顺利上岸。
