PHP中strpos()匹配字符串开头不返回真值导致URL清理逻辑失效问题

核心错误本质 #

问题出在对strpos()函数的返回值判定上，完全忽略了PHP弱类型判断的规则影响：

• strpos()的运行逻辑是：返回目标子串在原字符串中首次出现的位置索引，索引从0开始计数；只有在完全找不到匹配子串时，才会返回布尔类型的false。
• 当匹配的子串刚好处于字符串最开头位置时，函数会返回整数0表示位置。在PHP的if条件判断中，整数0会被直接判定为布尔假，对应的分支逻辑不会执行。

对照代码的实际运行流程：

1. 初始待处理字符串为http://www.example.com，其中//子串的位置是索引5，返回非零整数，被判定为真值，第一个if分支正常触发，切割后得到字符串www.example.com。
2. 进入第二个判断时，www.子串刚好位于字符串最开头，strpos()返回整数0，被if条件判定为假，整个移除www的分支完全被跳过，最终输出就停留在www.example.com，没有完成预期的域名清理。

可直接使用的修正写法 #

所有通过strpos()做匹配判断的逻辑，都不能直接把函数返回值当成布尔真值使用，需要加上严格类型对比，仅在“完全没找到匹配子串”时判定为假，保证子串在0位置的匹配也能被正常识别：

// 错误写法：子串在0位置时会被误判为不匹配
if (strpos($domain, "www.")){

// 正确写法：严格判断返回值不等于未匹配时的false
if (strpos($domain, "www.") !== false){

补充提示：当前代码中第一个判断//的分支虽然能正常运行，但同样存在潜在漏洞——如果遇到协议相对格式的URL（即以//开头的字符串），也会因为同样的0值返回问题被误判为不匹配，建议一并替换为严格判断的写法。

内容的提问来源于stack exchange，提问作者Zak