<?php
if (auth($username) == 'admin') {
$admin = TRUE;
} else {
$admin = FALSE;
}
?>
这个看起来似乎足够安全，因为看一眼就很容易理解。想象一下有一个更复杂一点的例子，它为name和email同时设置变量，为方便起见：
<?php
if (auth($username) == 'admin') {
$name = 'Administrator';
$email = 'admin@example.org';
$admin = TRUE;
} else {
/* Get the name and email from the database. */
$query = $db->prepare('SELECT name, email
FROM users
WHERE username = :username');
$query->execute(array('username' => $clean['username']));
$result = $query->fetch(PDO::FETCH_ASSOC);
$name = $result['name'];
$email = $result['email'];
$admin = FALSE;
}
?>
因为 $admin 还是明确地被设置为TRUE or FALSE，似乎一切都完好。但是，如果另一个开发者后来在代码里加了一个elseif语句，很可能他会忘记这回事：
<?php
if (auth($username) == 'admin') {
$name = 'Administrator';
$email = 'admin@example.org';
$admin = TRUE;
} elseif (auth($username) == 'mod') {
$name = 'Moderator';
$email = 'mod@example.org';
$moderator = TRUE;
} else {
/* Get the name and email. */
$query = $db->prepare('SELECT name, email
FROM users
WHERE username = :username');
$query->execute(array('username' => $clean['username']));
$result = $query->fetch(PDO::FETCH_ASSOC);
$name = $result['name'];
$email = $result['email'];
$admin = FALSE;
$moderator = FALSE;
}
?>
如果一个用户提供一个能够触发elseif条件的用户名(username)， $admin 没有被初始化，这可能会导致不必要的行为，或者更糟糕的情况，一个安全漏洞。另外，一个类似的情况对于 $moderator 变量来说同样存在，它在第一个条件中没有被初始化。
通过初始化$admin 和 $moderator ，这是完全很容易避免这一情况的发生的：
<?php
$admin = FALSE;
$moderator = FALSE;
if (auth($username) == 'admin') {
$name = 'Administrator';
$email = 'admin@example.org';
$admin = TRUE;
} elseif (auth($username) == 'mod') {
$name = 'Moderator';
$email = 'mod@example.org';
$moderator = TRUE;
} else {
/* Get the name and email. */
$query = $db->prepare('SELECT name, email
FROM users
WHERE username = :username');
$query->execute(array('username' => $clean['username']));
$result = $query->fetch(PDO::FETCH_ASSOC);
$name = $result['name'];
$email = $result['email'];
}
?>
不管剩下的代码是什么，现在已经明确了 $admin 值 为FALSE ，除非它被显式地设置为其它值。对于 $moderator 也是一样的。最坏的可能发生的情况就是，在任何条件下都没有修改$admin 或 $moderator ，导致某个是administrator 或moderator的人没有被当作相应的administrator 或moderator 。
