如何在 PHP 中检查会话变量是否包含指定字符串

本文介绍在 PHP 中高效判断 $_SESSION['access'] 这类逗号分隔字符串是否包含特定值（如 "dummy1"）的多种方法，涵盖 PHP 8+ 的 str_contains() 及兼容旧版本的 strstr() 方案，并强调安全性与边界场景处理。

平时做 Web 开发，我们经常会把用户权限或者访问范围用逗号分隔的字符串存在会话里，比如 $_SESSION['access'] = 'dummy1,dummy2,dummy3'，之后需要快速判断某个值（比如 'dummy1'）是否在里面。那 PHP 有没有类似 string.contains() 的方法呢？其实没有，因为字符串是标量不是对象，不过 PHP 提供了几个语义等效的内置函数，用起来也很顺手。

✅ 推荐方案：str_contains()（PHP 8.0+）

从 PHP 8.0 开始，str_contains() 成了最直观、最安全的选择——它专为子串存在性检测而生，返回布尔值，语义清晰，而且自动处理空字符串和类型转换：

if (str_contains($_SESSION['access'] ?? '', 'dummy1')) {
    echo "用户拥有 dummy1 权限";
}

⚠️ 注意：务必使用 ?? '' 或 isset() 防止未定义会话变量导致警告。str_contains() 在第一个参数为 null 时会抛出 TypeError，因此防御性编程至关重要。

⚙️ 兼容方案：strstr()（PHP < 8.0）

如果还在用 PHP 7.x 环境，strstr() 是广泛使用的替代方案。它返回首次匹配的子串（含后续字符），未找到则返回 false。利用“非 false 即存在”的特性即可判断：

if (strstr($_SESSION['access'] ?? '', 'dummy1') !== false) {
    echo "用户拥有 dummy1 权限";
}

? 提示：必须使用严格比较 !== false，因为 'dummy1' 本身可能作为子串返回（例如 'dummy1,dummy2' 中匹配 'dummy1' 返回 'dummy1,dummy2'），该值在松散比较中会被视为 true——但若目标字符串恰好以 '0' 开头（如 '0,1,2' 检查 '0'），松散比较 == false 可能误判，故严格比较不可或缺。

⚠️ 重要提醒：逗号分隔字符串的潜在陷阱

上述方法适用于简单场景，但存在精确匹配风险：

• 若 $_SESSION['access'] = 'dummy11,dummy2'，str_contains(..., 'dummy1') 会意外匹配 'dummy11' 中的 'dummy1'；
• 同理，strstr() 也无法区分单词边界。

✅ 更健壮的解决方案（推荐用于权限校验）：
将字符串解析为数组，再用 in_array() 进行精确匹配：

$accessList = array_map('trim', explode(',', $_SESSION['access'] ?? ''));
if (in_array('dummy1', $accessList)) {
    echo "用户明确拥有 dummy1 权限";
}

这种方式消除了子串误匹配，支持空格清理（trim()），逻辑清晰、可读性强，尤其适合权限、角色等关键业务字段。

总结

• ✅ PHP 8.0+：优先使用 str_contains($haystack, $needle)，简洁安全；
• ✅ PHP 7.x：使用 strstr($haystack, $needle) !== false，注意严格比较；
• ? 关键业务（如权限控制）：务必转为数组 + in_array()，确保精确匹配；
• ?️ 始终对 $_SESSION['access'] 做空值/类型校验，避免运行时错误。

选择合适的方法，既能提升代码可维护性，又能规避隐式类型转换与边界匹配带来的安全隐患。