Đáp án Quiz PHP — 38 câu hỏi có giải thích

Đáp án: C

== ép kiểu hai vế về cùng kiểu rồi mới so sánh (type juggling), nên '1' == '01' là true. === yêu cầu cùng kiểu và cùng giá trị, không ép kiểu — '1' === '01' là false. Mặc định nên dùng === để tránh kết quả bất ngờ.

Đáp án: B

Tạo reference: $a và $b là hai tên của cùng một giá trị, sửa bên nào bên kia cũng thấy. Khác gán thường (copy với array, handle với object), reference là alias thật sự — kể cả gán lại $b = 5 cũng đổi luôn $a.

Đáp án: A

?? (null coalescing) trả vế phải khi vế trái null hoặc chưa tồn tại, không sinh warning. '0' và '' vẫn được giữ nguyên — khác ?: và empty() vốn coi chúng là "rỗng". Phân biệt: isset() = tồn tại và khác null; empty() = falsy (gồm 0, '0', '', [], null).

Đáp án: C

Cả hai là hai nhánh riêng biệt cùng implement interface Throwable. Error đại diện lỗi từ engine (TypeError, ParseError, DivisionByZeroError) — trước PHP 7 là fatal error không bắt được. Exception cho lỗi tầng ứng dụng. catch (Throwable $t) bắt được cả hai; catch (Exception $e) thì không bắt được Error.

Đáp án: C

__get($name) chạy khi code đọc property không tồn tại hoặc không truy cập được (private/protected nhìn từ ngoài). Tương tự: __set cho phép gán, __call($name, $args) cho method không tồn tại, __callStatic cho static method. Property public có sẵn được đọc thẳng, không qua magic method.

Đáp án: B, D, E

match khác switch ở ba điểm chính: (1) so sánh strict ===, không ép kiểu; (2) là expression — trả về giá trị, gán trực tiếp được, không cần break; (3) không khớp nhánh nào và thiếu default thì ném UnhandledMatchError thay vì im lặng bỏ qua. Không có fall-through — nhiều điều kiện chung kết quả thì liệt kê qua dấu phẩy.

Đáp án: A

Server sinh một session ID ngẫu nhiên, gửi về browser qua cookie. Mỗi request sau, browser tự gửi lại cookie đó; server dùng ID để tra dữ liệu session lưu ở phía mình (file, Redis, DB). Dữ liệu nhạy cảm không rời khỏi server — chỉ có ID di chuyển.

Đáp án: D

md5 được thiết kế để nhanh — GPU hiện đại thử hàng tỷ hash mỗi giây, và không có salt nên tra ngược bằng rainbow table rất dễ. password_hash() dùng bcrypt/argon2: cố tình chậm (cost điều chỉnh được) và tự sinh salt ngẫu nhiên cho từng mật khẩu. Xác thực bằng password_verify().

Đáp án: B

Route model binding: Laravel thấy tên segment {user} khớp tham số type-hint User $user, tự chạy User::findOrFail($id) và inject model vào controller. Không tìm thấy → tự trả 404, controller không chạy. Thay thế cho đoạn find + check null lặp lại ở mọi action.

Đáp án: C

Migration biến thay đổi schema thành code có version trong git. Mỗi thay đổi là một file có thứ tự; php artisan migrate áp các file chưa chạy — nên máy dev mới, staging, production đều dựng ra schema giống hệt nhau. Sửa tay trong DB thì không ai biết đã đổi gì, môi trường lệch nhau và không tái tạo được.

Đáp án: D

Gọi SMTP có thể mất vài giây và có thể lỗi — bắt user chờ trong request là lãng phí. Dispatch job vào queue thì response trả về ngay, còn php artisan queue:work chạy worker nền xử lý dần. Đây là lý do chuẩn để đẩy mọi việc chậm (mail, resize ảnh, gọi API ngoài) ra queue.

Đáp án: B

{{ }} tự động chạy htmlspecialchars — user nhập <script> thì trình duyệt chỉ thấy chữ, chặn XSS mặc định. {!! !!} in nguyên văn, chỉ dùng cho HTML mình kiểm soát hoặc đã được sanitize. Quy tắc: dữ liệu user nhập không bao giờ đi qua {!! !!} trực tiếp.

Đáp án: D

$a không đổi. Array trong PHP là value type: phép gán (và truyền vào hàm) tạo bản sao. Ngược lại, object được gán theo handle — $b = $obj cho hai biến cùng trỏ một instance, sửa qua $b thì $obj thấy ngay. Đây là khác biệt array/object hay bị hỏi nhất.

Đáp án: B

Bật strict mode cho type declaration: gọi hàm khai báo int mà truyền '5' (string) sẽ ném TypeError thay vì tự ép kiểu như weak mode mặc định. Phạm vi theo từng file — chỉ áp dụng cho lời gọi viết trong file có declare, không lan sang file khác.

Đáp án: B

Chọn trait khi cần tái sử dụng code ngang hàng ở các class không cùng cây kế thừa — PHP đơn kế thừa nhưng use được nhiều trait. Interface = hợp đồng thuần (chỉ chữ ký). Abstract class = khung chung cho một họ class thật sự cùng bản chất, có state + một phần cài đặt.

Đáp án: C

In ra 1. use ($count) capture by value tại thời điểm định nghĩa closure — bên trong giữ bản sao 0, nên $count = 10 sau đó không ảnh hưởng. Muốn closure thấy giá trị mới nhất (và sửa được biến gốc), dùng use (&$count) — capture by reference.

Đáp án: D

Generator sinh từng giá trị một khi được lặp tới, thay vì dựng mảng chứa toàn bộ dòng: bộ nhớ giữ ổn định dù file bao nhiêu GB, còn cách trả mảng sẽ vượt memory_limit. Hàm chứa yield tạm dừng sau mỗi giá trị và chạy tiếp khi vòng lặp lấy giá trị kế.

Đáp án: B

src/Repository/UserRepository.php. Quy tắc PSR-4: bỏ namespace prefix đã khai báo (App\ → src/), phần namespace còn lại ánh xạ thành cây thư mục, tên class thành tên file .php — khớp chính xác hoa thường. Composer sinh autoloader từ ánh xạ này qua vendor/autoload.php.

Đáp án: A

Không hoạt động. PHP theo mô hình share-nothing: mỗi request thực thi script từ đầu và mọi biến (kể cả static) bị huỷ khi request kết thúc. Muốn cache giữa các request phải dùng nơi lưu ngoài process: Redis, Memcached, APCu, file.

Đáp án: A

SQL injection. $_GET['id'] được nối thẳng vào SQL nên attacker gửi ?id=1 OR 1=1 là đọc được toàn bộ bảng. Sửa bằng prepared statement: $pdo->prepare('SELECT * FROM users WHERE id = ?') rồi execute([$id]) — cấu trúc câu lệnh và dữ liệu được tách rời.

Đáp án: D

Service container của Laravel. Khi cần dựng controller, container dùng reflection đọc type-hint trong constructor, tự resolve OrderService (và mọi dependency của chính nó, đệ quy) rồi inject vào. Dev không phải new ở đâu cả — đây là dependency injection tự động (auto-wiring).

Đáp án: C

Facade là proxy tĩnh tới một service trong container. Cache::get() không phải static method thật: magic method __callStatic bắt lời gọi, resolve service cache từ container (qua key trong getFacadeAccessor()), rồi gọi get() trên instance đó. Cú pháp trông static nhưng phía dưới là object bình thường.

Đáp án: A, D, E

Middleware là pipeline: request đi qua chuỗi lớp lồng nhau trước khi tới controller, response đi ngược ra. Mỗi middleware quyết định gọi $next($request) để cho đi tiếp, hoặc trả response ngay để chặn. Global chạy cho mọi request; middleware gắn route chỉ chạy cho route đó. Thứ tự có ý nghĩa.

Đáp án: A

101 query — bài toán N+1 kinh điển. Post::all() chạy 1 query; mỗi lần $post->author chạm vào quan hệ chưa load, Eloquent lazy load bằng một query riêng × 100. Fix: Post::with('author')->get() — eager loading gom về 2 query (SELECT * FROM posts + SELECT * FROM authors WHERE id IN (...)).

Đáp án: A

Validation chạy trước khi controller được gọi — lúc container resolve FormRequest. Fail thì Laravel tự trả về: request thường → redirect về trang trước kèm lỗi trong session (hiển thị qua $errors) và old input; request JSON/AJAX → 422 kèm danh sách lỗi. Vào được controller nghĩa là dữ liệu đã qua rules().

Đáp án: C

Chống CSRF — site độc hại lừa browser của người đang đăng nhập gửi request thật (cookie tự động đi kèm) tới app của bạn. @csrf in một token bí mật gắn với session vào form; middleware ValidateCsrfToken so token gửi lên với token trong session — site lạ không đọc được token nên request giả bị chặn với lỗi 419.

Đáp án: A

Job được thử lại tới khi chạm giới hạn $tries (hoặc retry_until), mỗi lần cách nhau theo $backoff. Hết lượt thì job vào bảng failed_jobs kèm exception — xem bằng php artisan queue:failed, chạy lại bằng queue:retry. Không có gì bị mất âm thầm.

Đáp án: C

Mẫu read-through cache: key top_products có trong cache thì trả luôn, không thì chạy closure, lưu kết quả với TTL 600 giây rồi trả. Query nặng chỉ chạy 1 lần mỗi 10 phút thay vì mỗi request — một dòng thay cho cụm get/miss/put viết tay.

Đáp án: A

Mỗi request, PHP bình thường phải đọc file .php, parse và biên dịch ra bytecode rồi mới chạy. OPcache lưu bytecode đó vào shared memory — từ request thứ hai, bước parse/compile được bỏ qua hoàn toàn. Với framework nạp hàng nghìn file như Laravel, đây là tăng tốc lớn và gần như miễn phí; production luôn bật.

Đáp án: A, C, E

Bộ chuẩn: composer install --no-dev --optimize-autoloader + php artisan config:cache + route:cache (thêm view:cache, hoặc gọi gộp optimize). Tuyệt đối không composer update trên production (phá tính tái lập của lockfile) và không bật APP_DEBUG (lộ thông tin nhạy cảm).

Đáp án: A

Thiếu transaction. Nếu lệnh update đơn lỗi (mất kết nối, constraint) sau khi đã trừ ví, tiền mất mà đơn vẫn chưa paid. Bọc DB::transaction(function () { ... }) thì exception bên trong tự rollback cả hai — hoặc cùng xong, hoặc như chưa có gì xảy ra. Quy tắc: nhiều lệnh ghi phải nhất quán với nhau → transaction.

Đáp án: C

delete() chỉ set timestamp vào cột deleted_at — bản ghi vẫn nằm trong bảng. Trait đăng ký một global scope tự thêm where deleted_at is null vào mọi query Eloquent, nên bản ghi "biến mất" với code thường. Lấy lại bằng withTrashed()/onlyTrashed(), khôi phục bằng restore(), xoá hẳn bằng forceDelete().

Đáp án: B

Return model trực tiếp là để lộ schema database ra API: mọi cột đều xuất hiện trong JSON, kể cả cột nhạy cảm hoặc cột mới thêm sau này, và đổi tên cột là vỡ contract với client. Resource đặt một lớp transform ở giữa — khai báo rõ field nào trả ra, đặt tên gì, format thế nào — nên schema và API thay đổi độc lập.

Đáp án: C

Enum là một kiểu thật: tham số khai báo kiểu enum chỉ nhận đúng các case đã định nghĩa, nên giá trị lạ bị chặn ngay tại chỗ gọi. Hằng số trong class chỉ là giá trị nguyên thuỷ nên vẫn truyền nhầm được bất cứ chuỗi hay số nào.

Đáp án: B

Thuộc tính chỉ gán được một lần, từ trong phạm vi khai báo — thường là hàm khởi tạo. Mọi lần gán sau đều ném lỗi, kể cả từ bên trong class. Đây là cách tạo đối tượng bất biến mà không cần viết getter thủ công.

Đáp án: B

Hai lợi ích: bỏ qua các tham số có giá trị mặc định để tới thẳng tham số cần, và đọc rõ nghĩa tại nơi gọi — một tham số true trần trụi không cho biết nó bật cái gì.

Đáp án: B

Gặp null ở bất kỳ mắt xích nào, toàn bộ biểu thức dừng ngay và cho ra null — các lời gọi phía sau không chạy. Nhờ đó không còn lỗi gọi phương thức trên null, và không cần lồng nhiều lệnh điều kiện.

Đáp án: A

Câu lệnh và dữ liệu được gửi tách rời: database phân tích cấu trúc trước, rồi mới nhận giá trị tham số. Vì cấu trúc đã cố định, nội dung tham số không thể trở thành cú pháp SQL dù chứa bất kỳ ký tự nào.