该问题源于javascript函数调用早于其定义，导致resultdisplay()未声明即执行，引发referenceerror；同时存在html结构不闭合、eval()安全风险及输出时机错位等关键缺陷。
要构建一个稳定、可信赖的PHP计算器，必须解决执行时序、代码结构与安全性三大核心问题。原代码中 <script>resultDisplay();</script> 被插入在 <body> 内部但位于函数定义之前，而 JavaScript 是同步解析执行的——浏览器在遇到 resultDisplay() 调用时，尚未读取到其函数体，因此抛出 ReferenceError: resultDisplay is not defined。这正是结果“偶尔显示、多数空白”的根本原因。
此外，还有若干关键隐患需一并修复：
✅ HTML结构完整性：原代码缺少 </html> 和 </body> 闭合标签，可能干扰浏览器渲染与脚本执行上下文；
✅ JavaScript逻辑健壮性：clearDisplay() 中使用 value = null 应改为 value = ""，避免输入框显示 "null" 字符串；
✅ PHP输出时机控制：echo "<script>resultDisplay();</script>" 在 <body> 中动态插入脚本，但此时 DOM 可能尚未就绪（尤其无 DOMContentLoaded 保障），且 $result 未经 htmlspecialchars() 转义，存在 XSS 风险；
✅ eval() 的严重安全缺陷：直接执行用户输入的表达式等同于开放远程代码执行（RCE）入口，生产环境绝对禁止。
以下是重构后的完整、安全、稳定实现（含关键注释）：
Java Maven 项目审查工作流的通用输入处理。当 Java Maven 项目以 ZIP压缩包或 GitLab 仓库 URL 形式提供且需要...时使用。
<!DOCTYPE html>
<html lang="zh-CN">
<head>
<meta charset="UTF-8">
<title>PHP 安全计算器</title>
<style>
#calculator { margin: 20px; font-family: Arial, sans-serif; }
#display { width: 200px; height: 36px; font-size: 18px; text-align: right; padding: 4px; }
button { width: 50px; height: 50px; font-size: 16px; margin: 2px; }
</style>
</head>
<body>
<div id="calculator">
<form method="POST" action="<?php echo htmlspecialchars($_SERVER['PHP_SELF']); ?>">
<input type="text" name="display" id="display" readonly><br>
<button type="button" onclick="addToDisplay('7')">7</button>
<button type="button" onclick="addToDisplay('8')">8</button>
<button type="button" onclick="addToDisplay('9')">9</button><br>
<button type="button" onclick="addToDisplay('4')">4</button>
<button type="button" onclick="addToDisplay('5')">5</button>
<button type="button" onclick="addToDisplay('6')">6</button><br>
<button type="button" onclick="addToDisplay('1')">1</button>
<button type="button" onclick="addToDisplay('2')">2</button>
<button type="button" onclick="addToDisplay('3')">3</button><br>
<button type="button" onclick="addToDisplay('0')">0</button>
<button type="button" onclick="addToDisplay('+')">+</button>
<button type="button" onclick="addToDisplay('-')">−</button><br>
<button type="button" onclick="addToDisplay('*')">×</button>
<button type="button" onclick="addToDisplay('/')">÷</button>
<button type="button" onclick="clearDisplay()">C</button><br>
<button type="submit">=</button>
</form>
</div>
<?php
$result = '';
if ($_SERVER["REQUEST_METHOD"] === "POST" && isset($_POST["display"])) {
$expression = trim($_POST["display"]);
// 严格白名单过滤：仅允许数字、基础运算符、括号和空格
$expression = preg_replace('/[^0-9+\-*.\/\(\)\s]/', '', $expression);
// 基础合法性校验（防空表达式、连续运算符等）
if (!empty($expression) && preg_match('/^[0-9\s]+\s*[\+\-\*\/]\s*[0-9\s]+$/u', $expression)) {
// ⚠️ 生产环境应改用数学表达式解析器（如 evalmath），此处仅作演示
// 注意：eval() 在此仍具风险，仅用于教学说明，实际项目务必禁用
try {
// 替换 ^ 为 **（PHP幂运算符），处理简单幂次
$expression = str_replace('^', '**', $expression);
// 使用 eval 执行（仅限受控测试环境！）
eval("\$result = ($expression);");
// 确保结果为数字或字符串化数字
$result = is_numeric($result) ? (string)$result : '错误';
} catch (ParseError | Error $e) {
$result = '表达式错误';
}
} else {
$result = '输入无效';
}
}
?>
<script>
function addToDisplay(value) {
const input = document.getElementById("display");
input.value += value;
}
function clearDisplay() {
document.getElementById("display").value = ""; // ✅ 修正：使用空字符串而非 null
}
// ✅ 将函数定义置于调用之前，并确保 DOM 就绪
document.addEventListener("DOMContentLoaded", function () {
// 安全转义 PHP 输出（防止 XSS）
const phpResult = <?php echo json_encode($result); ?>;
document.getElementById("display").value = phpResult;
});
</script>
</body>
</html>关键改进总结：
立即学习“PHP免费学习笔记（深入）”；
- ✅ 执行顺序保障：resultDisplay() 逻辑内联至 DOMContentLoaded 回调，确保 DOM 加载完成后再操作；
- ✅ 输出安全化：使用 json_encode($result) 替代直接 echo，自动处理引号、换行、特殊字符，杜绝 XSS；
- ✅ 表单语义优化：将 = 按钮设为 <button type="submit">，使计算真正通过 POST 触发，符合表单设计规范；
- ✅ 防御性增强：增加 isset()、trim()、正则校验及异常捕获，提升鲁棒性；
- ⚠️ 安全警示：eval() 仍存在于示例中，仅用于本地学习；真实项目请集成 msoos/evalmath 等安全表达式求值库，或改用前端纯 JS 计算（推荐），彻底规避服务端代码注入风险。
遵循以上方案，计算器将实现100% 稳定的结果渲染，并迈出从“能跑”到“可靠、安全、可维护”的关键一步。
