PHP是一种弱类型语言，很多语法特性让***者有机可乘，例如双引号中的变量。

执行代码：

function	test(){echo "hello";
}echo "${@test()}";echo "${@phpinfo()}";

原理：

$a = 'b';$b = 'a';echo $$a;

这些是利用PHP可变变量，{}可解析双引号的特性来制造的小麻烦。

原文地址：http://www.phpddt.com/php/php-secure-quotation.html