应优先使用模型访问器而非模板内方法调用，因其自动处理空值、避免N+1查询；复杂逻辑抽离至静态工具类并校验参数；动态URL拼接需防空值；JS中注入PHP数据须用json_encode配合转义选项。
在 Laravel 8 的 Blade 模板中直接调用模型方法（如 $post->excerpt() 或 $user->fullName()）看似方便，但若方法未做空值防护、未限制执行上下文或返回未经转义的 HTML，极易引发空指针异常、XSS 漏洞或 N+1 查询问题——这不是前端渲染逻辑该承担的风险。
优先使用访问器替代模板内方法调用
模型访问器由 Eloquent 自动触发，天然支持空值判断和缓存，且只在数据被读取时执行一次。
在 app/Models/Post.php 中定义：
public function getExcerptAttribute() { return Str::limit($this->content, 200, '…'); }
立即学习“前端免费学习笔记（深入）”；
Blade 中直接使用：{{ $post->excerpt }}。这比 {{ $post->getExcerpt() }} 更安全——访问器自动跳过 null 属性，而普通方法调用会抛出 Call to a member function on null。
【关键前提】 确保模型属性已加载，避免延迟加载触发额外查询。编辑页面中应使用 with('user') 预加载关联，而非在模板里写 {{ $post->user->name }}。
必须调用模型方法时：用静态工具类封装并校验入参
当业务逻辑复杂、无法塞进访问器（如带参数的格式化、权限判定），应抽离为静态工具类，禁止在模板中直接调用实例方法。
创建 app/Utilities/PostHelper.php：
class PostHelper { public static function renderTitleWithBadge($post, $badge = 'new') { if (!$post || !is_object($post) || !isset($post->title)) { return ''; } return '<span class="title">' . e($post->title) . '</span><span class="badge">' . e($badge) . '</span>'; } }
在 Blade 中调用：{!! App\Utilities\PostHelper::renderTitleWithBadge($post) !!}
注意：这里必须用 {!! !!}，因为方法已对内容做了 e() 转义；若漏掉 e()，$post->title 中的 <script> 就会执行。
动态拼接 URL 或路径时：禁止嵌套 {{ }}，用字符串拼接代替
常见错误：{{ asset('uploads/{{ $post->cover_image }}') }} 会导致 Blade 编译失败——外层 {{ }} 未闭合，内部又出现 {{。
正确写法：<img src="https://img.php.cn/" alt="Laravel8如何在Blade模板中安全调用模型辅助方法【前端】">cover_image) }}" alt="{{ e($post->title) }}">
如果 $post->cover_image 可能为空，需加保护：
<img src="%7B%7B%20%24post->cover_image%20?%20asset('uploads/'%20.%20%24post->cover_image)%20:%20asset('images/default.jpg')%20%7D%7D" alt="{{ e($post->title ?? '') }}">
这一步操作起来很简单，直接把文件拖进去就行。
在 JS 上下文中注入 PHP 数据：必须用 json_encode + htmlspecialchars 组合
不要这样写：<script>var postId = {{ $post->id }};</script> —— 若 $post->id 是字符串或含特殊字符，JS 会报错。
第一步：在控制器中将数据传入视图时，预处理为 JSON 安全格式：
$jsData = ['id' => $post->id, 'title' => $post->title, 'published' => $post->published];
第二步：在 Blade 中输出为 JS 变量：
<script>var post = {!! json_encode($jsData, JSON_UNESCAPED_UNICODE | JSON_HEX_APOS | JSON_HEX_QUOT) !!};</script>
这个组合确保单引号、双引号、尖括号都被转义，JS 解析不会中断，也防 XSS。不加 JSON_HEX_APOS 和 JSON_HEX_QUOT，用户标题里写 O'Reilly & "PHP" 就会让 JS 崩溃。
