本周 PHP 生态主线是维护版与工具链推进：Symfony 8.1.5、7.4.17、6.4.44 三线齐发并上线官方 LSP 服务器；Laravel AI SDK 0.11 用关联 ID 与生命周期事件让代理运行可追踪；Yii2-user 停止维护。安全面聚焦 WordPress 十步加固、Webhook 载荷不可信与批量赋值越权。
📖 文章
Laravel AI：用生命周期事件追踪代理运行
一次代理运行很少只是一次 API 调用。模型返回工具调用，SDK 执行它们，再把结果发回去，如此循环，直到模型完成。
双重净化：为什么富文本邮件只做一遍不够
TL;DR 我在富文本邮件正文保存时做了一次净化。今天我加上了渲染时的第二遍，这不是有备无患的偏执------这是一个顺序 bug。
突破速度上限：Laravel Octane 并发
二十多年来，PHP 依靠一种非常特定的架构范式主导了 Web：无共享（Shared-Nothing）请求生命周期。当 HTTP 请求打到传统的 Nginx 与 PHP-FPM 栈时，PHP 会启动一个全新的环境。
Magento 2 商品评价性能：隐藏的 Cron 与 N+1 瓶颈
商品评价看起来很无辜。列表里的星级评分、商品页上的评论列表、用于审核的后台表格。这能慢到哪里去？
WordPress 安全加固：10 步技术清单
WordPress 驱动了 40% 以上的 Web，这也让它成为自动化攻击工具瞄准最多的 CMS。大多数被攻陷都不是什么高深手段------过期的核心／插件版本、弱管理员凭据，或者内置后门的破解插件。以下是一份按优先级排序的加固清单。
PHP 与 Laravel 中的批量赋值------当用户输入超出它应有的范围
没有 SQL 注入。没有 XSS。没有路径穿越。只是一个合法请求里多出一个意料之外的字段，用户就可能突然修改了本不该由他控制的数据。
PHP 中最有用的 5 个数组函数
在本文中，我们将探讨每位 PHP 开发者都应该知道的最有用的五个数组函数。
🛠 工具
violet/streaming-json-encoder
PHP 内置的 json_encode 必须先在整个文档于内存中拼装完成后才能输出第一个字节，这正是庞大数据集失败的地方。Streaming JSON Encoder 通过逐值编码绕开这道墙：你永远不必加载整个数据集，因为它可迭代数组、生成器与任何迭代器，你也不必持有整个结果文档，因此分块可以在生成时就被刷新------另外还提供一个供框架与 HTTP 响应用途的 PSR-7 兼容流。文章涵盖两大优势、Composer 安装、PHP 5.6 最低要求以及 psr/http-message ^1.0 依赖。
dotswan/filament-map-picker
在你的 Filament 应用里用基于地图的界面轻松拾取并获取地理坐标。
dektrium/yii2-user
每个 Yii2 应用最后都要手写同样的注册、登录和找回密码流程，而专门为终结这种重复而生的模块，至今仍带着"initial development --- anything may change at any time"的警告。仍在运行它的人持有的是一份无人维护的认证代码，仅针对 master 分支和一个冻结的 v0.9.12 标签有文档。README 涵盖其功能集------可选的邮箱确认注册、社交网络注册、账号与资料管理、用户管理界面，以及管理员模拟登录其他用户------外加安装说明所在位置、如何在论坛提问、贡献指南及其 MIT 许可证。
wp-forge/wp-query-builder
WordPress SQL 查询构建器被 fork 只有一个原因：原项目已无人维护。不想手写原始 SQL 的 WordPress 开发者，否则只能依赖一个无人回应 issue、悄悄腐坏的构建器，而这个 fork 让同一套 API 继续存活。文章讲解了通过 PSR-4 自动加载进行 Composer 安装、自动表前缀、带条件分组的 select 与 where 运算符、可用的 join 类型、group by 配合 having、limit/offset 分页快捷方式、取首行与末行，以及跨列搜索值。
utopia-php/system
System::getMemory() 报告的是容器自身的内存上限，而非宿主机的 RAM：在 Linux 上它从 /sys/fs/cgroup 读取 cgroup v2 的 memory.max 或 cgroup v1 的 memory.limit_in_bytes，并以宿主机 RAM 封顶，只有在限额缺失、不可读或不限时才回退到 getMemoryTotal()。在容器内相信宿主机数字会夸大可用内存并招致 OOM kill，而非 Linux 与 macOS 宿主则直接透传或抛出异常。文章讲解了 API 覆盖面的深度、零依赖的 Composer 安装以及 PHP 8.0+ 要求。
erag/laravel-disposable-email
这个包内置 124,220+ 个一次性邮箱域名，并每天直接从自行维护的黑名单仓库刷新，而不是等人手动更新一份静态列表。一次性收件箱污染注册与线索表单，而服务商一夜之间就轮换出新域名，因此任何冻结的黑名单都会迅速失效。文章讲解了校验规则、通过 Disposable facade 与 helper 进行运行时检查、可选的 RFC、DNS 与伪造校验模式、Blade 条件、子域封禁、自定义黑名单与可信白名单、缓存、disposable:stats 命令，以及对 Laravel 10 到 13 的支持。
php-translation/symfony-storage
editorconfig-checker/editorconfig-checker
大多数 linter 只检查单一文件类型，且每个都要求自己的配置，而这个工具只需要项目已有的 .editorconfig 就能一次性检查所有文件。然而行尾空格、缺失的结尾换行或不一致的缩进风格只在 .editorconfig 里声明一次，却几乎从不被执行，于是硬塞一个按语言的 linter 就把这些规则复制成两份，直到它们彼此漂移。文章涵盖该包装器向核心检查器透传参数、自动 --fix、.editorconfig-checker.json 配置，以及核心文档与 IRC 频道的位置。
chromatic/php-gd-config-check
用于检查 PHP GD 库指定格式是否存在及状态的 Composer 插件。
genealabs/laravel-caffeine
表单打开太久会在提交时失败，而每一种常见变通都要牺牲安全性：在不安全的端点上暴露 CSRF token、对特定路由关闭 CSRF 校验，或者全站移除会话超时。Laravel 默认会话存活时间为 120 分钟并允许每个站点修改，因此超时点不可预测，而 Caffeine 只在页面确实存在 _token 字段或 csrf-token meta 标签时保活------其他页面仍会正常过期。文章涵盖零配置的自动发现、可选配置、两种退出方式（页面 meta 标签与路由中间件），以及 Livewire/Inertia 与 Voyager 的边界。
📝 简讯
那么你收到了一份安全报告。接下来呢？
你维护着一个 PHP 项目。有人（可能是 PHP 基金会的 Volker，也可能是独立研究员）刚刚告诉你，你的项目可能存在安全漏洞。你可能会感到不知所措，或者不确定该不该信任这份报告，又或者单纯不确定正确的下一步
Laravel AI SDK 0.11 中的代理运行可观测性
Laravel AI v0.11.0 给一次代理运行分配了唯一的关联 ID，并提供一组生命周期事件，在每次提供商往返和每次工具调用前后触发。在此之前，一次需要五轮往返才解析完工具调用的运行，与只调用一次的运行看起来一模一样，而一次死在
Symfony 8.1.5、7.4.17 和 6.4.44 发布
Symfony 8.1.5、7.4.17、6.4.44 刚刚发布。阅读 Symfony 升级指南以了解更多升级信息，并使用 SymfonyInsight 升级报告来发现项目中需要修改的代码。
2026 年 8 月 17--23 日 - Symfony 一周 #1025
本周发布了 Symfony 6.4.44、Symfony 7.4.17 和 Symfony 8.1.5 维护版本。此外，我们推出了 Symfony Language Tools，即官方 Symfony LSP 服务器。最后，我们开始试验"issue 优先"的开源贡献方式。
PHP 内核动态 | 2026 年 8 月 19 日
本周没有任何 RFC 进入投票，实际上一个都没有处于投票阶段，所以这份清单把时间花在了设计讨论上。一位新贡献者提出的 array_search_range() 遇到了一个通用惰性数组切片的反对提案，一处一行代码的 ini_get_all() 不一致演变成了大小写敏感性的争论，其作者本人也
🎙 播客
The Stack Overflow：走进 LinkedIn 面向代理个性化的认知记忆代理
Ryan 与 LinkedIn 首席 AI 研究员 Praveen Bodigutla 对谈，聊他团队构建的四层记忆系统，为 LinkedIn 的招聘助手提供持久、个性化的状态。
Software Engineering Radio：SE Radio 734：Sathiesh Veera 谈用 LLM 构建数据保护护栏
At&T 的 GenAI 解决方案架构师 Sathiesh Veera 与主持人 Brijesh Ammanath 讨论使用 LLM 时所需的数据保护护栏。核心问题在于，在多数企业 AI 部署中 LLM 位于云租户之外，这意味着数据会带着
Developer Tea：为什么降低复杂度是资深的标志
随着你作为工程师的成长，会发生一件反直觉的事：你构建的系统变得更简单，而不是更复杂。在本期节目中，我探讨为什么资深工程师倾向于压平抽象、接受某些风险、缩减自己负责的面积，以及是什么在驱动这一转变背
Shoptalk Show：After Dark 特别版！Microlighter、三态闹剧与快速剪辑视频
Dave 和 Chris 试图把他们的 LUT 整理清楚，找出该用哪个应用快速剪辑并发布视频，Dave 的新语法高亮器 microlighter，Web MCP 是否能帮助代理更好地使用 CodePen，以及说"不"与你交付什么同样重要。
WP Builds：481 -- 面向 WordPress 用户与 Vimeo 难民的新视频托管方案
对话聚焦于 Livid，一个刚刚上线的视频托管平台，定位为 Vimeo 的有力替代品，尤其适合那些在 Vimeo 被 Bending Spoons 收购后面对大幅涨价的用户。
PHP Architect：PHP 播客 2026.08.20
Shirley MacLaine 就是答案，但问题是什么？内存价格涨了 500%，GitHub 宕机八小时，节目组还弄清了你可以如何真正为 PHP 做贡献。眼镜随意。
Mostly Technical：146：去做事，然后告诉别人
Ian 和 Aaron 讨论 Aaron 去哥本哈根参加 Laravel Live DK 的行程、见到 DHH、那趟"地狱般的回家路"、用 AI 打败加拿大航空的官僚流程，还有更多。
Syntax：Stripe 以 70 亿美元收购 OpenRouter
Scott 和 CJ 拆解 Stripe 对 OpenRouter 的 70 亿美元收购、SvelteKit 3 发布候选，以及他们首次看 TanStack Charts。
📰 阅读
超越 CRUD：Laravel 中的事件溯源架构
绝大多数 Web 应用都构建在 CRUD 范式（创建、读取、更新、删除）之上。如果用户更新收货地址，你就在 users 表上执行一条 UPDATE SQL 查询。旧地址被覆盖、被永久销毁，由新地址取代。
活跃标志陷阱：CakeDC/Users 中的未验证但已登录
如果你用 CakeDC/Users 交付邮箱验证，最终会撞上一个插件悄悄抛回给你的问题：当有人注册了、从未点击验证链接，然后尝试登录时，应该发生什么？
从 spatie/laravel-permission 迁移到 Redis：生产实战手册
spatie/laravel-permission 是 Laravel 中角色与权限的事实标准，对大多数应用来说它正是正确选择。这篇文章讲的是少数情况：你的授权检查占数据库负载中可测量的一部分，或者大规模下的权限变更不断触发全量缓存
当 @deprecated 喊"狼来了"：让 Shopware 的下一次主版本升级更轻松
当 PHPStan 报告你的扩展调用了已弃用的方法时，预期的下一步相当明确：找到替代方法并迁移代码。
Laravel 队列任务详解：如何在后台运行耗时任务
当我刚开始构建 Laravel 应用时，最终遇到一个看似简单、却对性能影响很大的问题：有些任务完成得太慢。
Webhook 安全 101：为什么永远不要相信传入的载荷
Webhook 是现代 Web 生态的连接组织。无论你是在接收 Stripe 的支付确认、电信运营商的消息投递报告，还是 GitHub 的仓库事件，Webhook 都让你的应用能实时响应外部触发器。
往期精选
- PHP周刊2026W36 | Laravel AI SDK 0.11可观测、Symfony 8.1.5、Octane并发、事件溯源
- PHP周刊2026W35 | PHP 8.6.0 Beta 1发布、Laravel 13.25全局暂停队列、NativePHP v4原生UI、Symfony 8.2密集冲刺
- PHP周刊2026W34 | PHP 8.6弃用投票落定、Laravel 13.25发布、NativePHP v4原生UI、Symfony 8.2合并173 PR
- 2026年9月编程语言排行榜｜Julia 逼近前 20
- Rust周刊2026W37 | never 类型稳定、Rustls 十年零破坏、Allocator 逼近稳定
- 用 Rust 重写 Bun