scandir() 是 php 最轻量的目录遍历方式，返回含 . 和 .. 的默认升序数组，需用 array_diff 过滤；大目录优先用 glob() 提升性能，生成索引时须校验路径、过滤符号链接并防 xss。
用 scandir() 快速列出目录内容但要注意排序和隐藏文件
scandir() 是 PHP 最轻量的目录遍历方式，它返回一个包含所有文件名（含 . 和 ..）的数组，默认按字母升序排列。实际生成索引时，多数人会漏掉过滤这两项，导致索引里出现冗余条目。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 始终用
array_diff($files, ['.', '..'])剔除当前/父目录引用 - 若需自然排序（如
file10.txt排在file2.txt后），改用glob()+strnatcasecmp()或usort() -
scandir($dir, SCANDIR_SORT_NONE)可避免默认排序开销，适合后续自行控制顺序
用 RecursiveDirectoryIterator 递归生成多级索引时要防循环引用
当目录存在符号链接或挂载点时，RecursiveDirectoryIterator 默认可能陷入无限递归，最终触发 Fatal Error: Maximum function nesting level 或超时。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 构造迭代器时传入
FilesystemIterator::SKIP_DOTS标志，自动跳过./.. - 用
RecursiveIteratorIterator::LEAVES_ONLY避免中途处理目录对象，减少逻辑分支 - 对符号链接敏感的场景，加一层
is_link($path) && !is_dir($path)判断再决定是否跳过
生成 HTML 索引页时别硬编码路径，用 realpath() 和 basename() 安全拼接
直接把用户输入的目录名拼进 opendir() 或 HTML <a href="..."></a> 中，极易引发路径遍历（如 ../etc/passwd）或 XSS（如目录名含 <script></script>）。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 接收目录参数后立即用
realpath($input)解析为绝对路径，再与 Web 根目录比对是否在其下 - HTML 中显示文件名一律用
htmlspecialchars(basename($file))，防止 XSS - 链接地址用相对路径计算：例如索引页在
/index.php?dir=docs，点击sub/应跳转到?dir=docs/sub，而非拼出docs/sub/这种易被篡改的字符串
大目录下性能卡顿？优先用 glob() 替代 readdir() 循环
面对上万文件的目录，用 while ($file = readdir($dh)) 逐个读取，PHP 进程会长时间阻塞，且内存不释放；而 glob($pattern, GLOB_NOSORT | GLOB_BRACE) 由系统底层实现，速度快、内存占用低，还支持通配符过滤。
实操建议：
立即学习“PHP免费学习笔记（深入）”；
- 只列普通文件：用
glob($dir . '/*', GLOB_NOSORT)，比scandir()+is_file()循环快 3–5 倍 - 排除特定类型：如
glob($dir . '/{*.txt,*.md}', GLOB_BRACE | GLOB_NOSORT) - 注意
glob()不支持递归，多级需求仍得靠RecursiveDirectoryIterator，但可配合LimitIterator分批处理
生成索引看似只是读目录、写列表，但真实环境里权限校验、路径净化、符号链接处理、大文件列表分页这些点，往往在上线后才暴露——尤其是当目录来自用户可控输入时，realpath() 和 basename() 的调用时机，比算法选择更关键。