正确做法是入库原样存储HTML，输出时按上下文编码：HTML正文用htmlspecialchars，属性值同理，JS中用json_encode，富文本必须用HTMLPurifier清洗后输出。

直接在数据库中存储未转义的 HTML 标签本身**不是问题**，真正危险的是： ✅ 原样存（不提前 htmlspecialchars）是正确做法； ❌ 但若后续输出时不做上下文感知处理，就会触发 XSS； ❌ 更糟的是——用拼接 SQL、错误过滤、或混淆“入库安全”与“输出安全”，反而破坏数据可用性又留漏洞。 下面分三块说清怎么做才真正安全、实用：

一、入库：保持原始 HTML，禁用任何自动转义

PHP 8.5.7 + PDO/MySQLi 默认不会转义 HTML —— 这是好事，要维持它：

• 绝不调用 htmlspecialchars()、addslashes() 或 strip_tags() 后再存库，否则富文本会变成乱码（如 <p>Hello</p>）
• 避免手写 Db::execute("INSERT INTO ... '$html'") 这类拼接 SQL，它既可能二次转义，更会引发 SQL 注入
• 务必使用预处理语句：$stmt = $pdo->prepare("INSERT INTO posts(content) VALUES (?)"); $stmt->execute([$rawHtml]);
• 数据库字段类型设为 TEXT 或 MEDIUMTEXT，别用 VARCHAR(255) 截断长 HTML

二、输出：按位置决定怎么编码，不是“统一转义”

同一段 HTML 可能出现在不同地方，每种场景需不同处理：

Wechat HTML Publisher

直接上传HTML富文本到微信公众号草稿箱。支持完整的HTML格式,无需Markdown转换。

下载

• 渲染到 HTML 正文区域（如 <article><?php echo $content; ?></article>）→ 用 htmlspecialchars($content, ENT_QUOTES | ENT_HTML5, 'UTF-8')
• 填入 <input value="..."> 属性 → 同样用 htmlspecialchars，且确保属性用双引号包裹
• 嵌入 JS 字符串（如 var desc = "<?php echo $content; ?>";）→ 必须改用 json_encode($content, JSON_UNESCAPED_UNICODE | JSON_HEX_TAG | JSON_HEX_AMP)
• 输出到 <div data-desc="..."> → 同样是属性上下文，htmlspecialchars 即可

三、富文本场景：HTMLPurifier 是刚需，不是可选项

如果用户能发带 <img>、<a>、<strong> 的内容（比如后台编辑器），htmlspecialchars 会把所有标签干掉 —— 这时必须清洗，而非过滤：

• 安装 HTMLPurifier（兼容 PHP 8.5+）
• 配置白名单：'HTML.Allowed' => 'p,b,i,strong,em,a[href|title],img[src|alt|width|height]'
• 只在输出前调用：$clean = $purifier->purify($rawHtml); echo $clean;
• 别在入库时 purify —— 后台可能需要原始 HTML 编辑，且 purify 结果不可逆

不复杂但容易忽略。关键就两条：入库不动它，输出看位置。