php 7.3 升级后，用户提交的含 html 的聊天室签名（如带链接、图片、样式标签）出现引号丢失、? 符号截断、target="_new" 变为 rrrrget=_new 等异常——这并非 php 版本导致，而是服务端存在未经审查的字符串过滤逻辑（如正则误删、str_replace 滥用或 waf/输入清洗中间件干扰）。
php 7.3 升级后，用户提交的含 html 的聊天室签名（如带链接、图片、样式标签）出现引号丢失、? 符号截断、target="_new" 变为 rrrrget=_new 等异常——这并非 php 版本导致，而是服务端存在未经审查的字符串过滤逻辑（如正则误删、str_replace 滥用或 waf/输入清洗中间件干扰）。
该问题的本质不是 PHP 解析 HTML 的能力下降，而是用户输入在存储或输出前被非预期地“净化”了。您提供的示例中：
- 缺少引号，本就属于不规范 HTML（HTML5 允许无引号属性值，但仅限无空格、无特殊字符的纯 ASCII 值）；
- 而 ? 和 & 在 URL 查询参数中是关键分隔符，若被错误地当作分隔符或正则元字符处理（例如 preg_replace('/[?"&]/', '', $input)），就会导致链接断裂；
- 更典型的是 rrrrget=_new —— 这极可能是正则替换时未转义 . 或 *，或使用了模糊匹配（如 str_replace('target=', 'rrrrget=', $html)），而 target= 恰好出现在其他上下文（如 attr_target=、data-target=）中被误替换。
✅ 验证与定位步骤：
检查输入接收点：在用户提交签名的 PHP 处（如 $_POST['signature'] 接收后），立即 var_dump($_POST['signature']); die;，确认原始输入是否已损坏。若此时已缺失引号或 ?，说明问题出在前端提交（如 JS 截断）、Web 服务器模块（如 Nginx mod_security 规则）、或 PHP 的 input_filter 配置。
-
排查全局过滤函数：搜索项目中是否存在类似以下代码：
立即学习“前端免费学习笔记（深入）”；
// ⚠️ 危险示例：盲目删除所有引号和问号 $clean = str_replace(['"', "'", '?'], '', $_POST['signature']); // ⚠️ 更隐蔽：正则误匹配 $clean = preg_replace('/[\'"?\&]/', '', $_POST['signature']); // ⚠️ 或滥用 strip_tags() + 自定义白名单（但未正确处理属性） $clean = strip_tags($_POST['signature'], '<center><font><br><img alt="HTML 中的引号与查询参数被意外截断或破坏：原因分析与安全解决方案" ><a><b>');注意：strip_tags() 不会修复属性语法，它只移除标签，而残留的属性值若含未闭合引号，可能引发后续解析错乱。
检查 .htaccess / Nginx 配置：某些安全模块（如 ModSecurity）默认规则会拦截含 ?act= 或 &pid= 的请求体，或对 POST 数据执行预清洗。查看错误日志中是否有 ModSecurity: Access denied 记录。
? 安全且兼容的解决方案：
不要试图“修复不规范 HTML”，而应明确区分“存储”与“渲染”阶段，并采用标准防护策略：
- ✅ 存储阶段：以原始形式（UTF-8）保存用户输入，不做任何 HTML 清洗（除非业务强要求）。若需防 XSS，应在输出时处理。
- ✅ 输出阶段：使用 htmlspecialchars() 对非信任内容进行转义；但若需允许有限 HTML（如 , ,
），应使用专业库如 HTML Purifier（支持白名单、属性校验、URL 安全重写）：
require_once '/path/to/HTMLPurifier.auto.php'; $config = HTMLPurifier_Config::createDefault(); $config->set('HTML.Allowed', 'center,font[face|size|color],br,img[src|title],a[href|target],b,i,u,br'); $config->set('Attr.AllowedFrameTargets', ['_new', '_blank']); $config->set('URI.SafeIframeRegexp', '%^https://(pics\.|randomwebsite\.com)/%'); $purifier = new HTMLPurifier($config); $safe_html = $purifier->purify($user_input); // 自动修复引号、转义危险属性、标准化 URL echo $safe_html;
⚠️ 重要提醒：
- 绝对避免手动拼接 HTML 属性（如 "href=" . $url），必须使用 htmlspecialchars($url, ENT_QUOTES, 'UTF-8')；
- target="_new" 是无效值，应为 target="_blank"（并配合 rel="noopener" 提升安全性）；
和 已废弃，建议引导用户使用 CSS，或在净化时自动转换（HTML Purifier 支持 AutoFormat 功能）； - 若 iframe 聊天框加载外部资源，请确保 Content-Security-Policy 头允许对应域名，避免因 CSP 导致资源加载失败而掩盖真实问题。
总结：这不是 PHP 7.3 的 Bug，而是输入管道中某处“静默修改”所致。优先通过 var_dump 定位污染节点，禁用可疑过滤逻辑，再引入 HTML Purifier 实现安全、健壮、符合标准的富文本渲染。
