安全替换模板变量需确保{name}被完整边界包围，避免误匹配user_name或data-name等场景，必须用(?<!w){name}(?!w)类断言而非简单/{name}/。
直接用 str_replace 或简单正则替换 {name} 类模板变量，几乎必然误伤——比如把 user_name 里的 name 当成变量、或把 HTML 属性值 data-name="value" 里的 {name} 也一并替换了。关键不是“怎么写正则”，而是“怎么定义边界”。
为什么 /{name}/ 这种写法一定会出问题
它只看字面匹配，不区分上下文。只要字符串里出现 {name} 就换，不管它是在 PHP 变量赋值里、HTML 标签里、注释里，还是被单引号包着的字符串字面量中。
- 遇到
$html = '<div data-id="{id}"></div>';，{id}会被错误替换，破坏原始字符串 - 遇到
$template = "Hello {user_name}";，user_name里含name，若模式没锚定，可能被/{name}/拖进去匹配 - 多变量共存时（如
{name}和{username}），顺序替换还可能互相污染
preg_replace 必须加单词边界和分隔符保护
真正安全的模板变量替换，得同时满足两个条件：左侧是 { + 紧跟合法标识符 + 紧跟 }，且这三部分不能被其他字符“粘连”。 在这里无效，因为 { 和 } 都是非单词字符，得用 (? 和 <code>(?=}) 这类环视断言。
- 推荐模式：
/{([a-zA-Z_][a-zA-Z0-9_]*)}/—— 明确限定变量名必须以字母或下划线开头，后续只能是字母、数字、下划线 - 务必加
u修饰符支持 Unicode 变量名：/{([a-zA-Z_x{80}-x{ff}][a-zA-Z0-9_x{80}-x{ff}]*)}/u - 替换时用
$1引用捕获组，避免把{和}也写进替换内容里 - 不要用
/做分隔符，改用~或#，避免和路径、URL 中的斜杠冲突
怎么跳过字符串字面量里的模板变量
正则本身无法“理解”PHP 语法结构，但可以用 (*SKIP)(*F) 跳过引号包裹的内容。这是最实用的规避手段，尤其适合处理混合了 PHP 代码和 HTML 字符串的模板文件。
立即学习“PHP免费学习笔记（深入）”；
- 完整模式示例：
~(["'])(?:[^\1\\]*|\\.)*\1(*SKIP)(*F)|{([a-zA-Z_][a-zA-Z0-9_]*)}~u - 前半段匹配一对单/双引号包裹的字符串（支持转义），然后
(*SKIP)(*F)让引擎彻底放弃这段匹配，不回溯 - 后半段才真正匹配
{xxx}，此时已排除所有引号内场景 - 注意：该模式要求 PCRE 库版本 ≥ 8.34（PHP 5.4.8+ 默认满足）
替换前先做上下文预检比盲目执行更可靠
再强的正则也有盲区。比如 echo "{name}"; 和 /* {name} */ 都会命中，但后者是注释，不该参与渲染。这时候硬靠正则识别注释极不可靠。
- 对源码做预处理：用
token_get_all()拆成 PHP token 流，只在T_CONSTANT_ENCAPSED_STRING和T_COMMENT外的 token 区域执行替换 - 若只是处理纯文本模板（非 PHP 文件），可先用
htmlspecialchars_decode()还原 HTML 实体，再替换，避免{name}被漏掉 - 永远保留原始备份，替换后用
diff工具对比差异，重点检查引号内、注释内、JS 字符串里是否被误动
最易被忽略的是：模板变量名里允许下划线，但不允许短横线（-）或美元符（$），而很多人写的正则会放得太宽，比如用 w+ —— 它会把 user-name 或 $id 也当变量名捕获进来，导致后续逻辑崩坏。边界定义必须精确到字符集，不能图省事。
