本文介绍一种安全、可靠的方式，避免在 TinyMCE 中直接嵌入 PHP 代码，而是使用自定义占位符（如 __LANG__）编写链接，并在服务端输出前统一替换为实际语言代码，兼顾编辑友好性与安全性。
本文介绍一种安全、可靠的方式，避免在 tinymce 中直接嵌入 php 代码，而是使用自定义占位符（如 `__lang__`）编写链接，并在服务端输出前统一替换为实际语言代码，兼顾编辑友好性与安全性。
在构建多语言网站时，常需确保富文本内容中的链接能自动适配当前用户语言路径（例如 /en/products/xxx 或 /fr/products/xxx）。然而，试图在 TinyMCE 编辑器中直接输入 <a href="/<?php echo $lang; ?>/products/xxx"> 是不可行的：TinyMCE 默认会过滤、转义或破坏 PHP 标签，导致输出为 HTML 注释（如 <!--mce:protected ...-->）或完全丢失逻辑，既不安全也不稳定。
✅ 推荐方案：服务端占位符替换（Safe Placeholder Substitution）
核心思想是——编辑时用可读、可维护的纯文本占位符；渲染时由 PHP 统一替换。这完全绕过编辑器对 PHP 的限制，也杜绝了任意代码执行风险。
✅ 实施步骤
-
编辑器中使用语义化占位符
内容编辑者在 TinyMCE 中直接输入：<p>Click <a href="/__LANG__/products/product1">here</a> for more details.</p>
占位符 __LANG__ 清晰易懂、不会被 TinyMCE 误处理，且便于团队协作和后期维护。
-
服务端输出前批量替换
在将富文本内容发送至浏览器前（例如从数据库读取后、模板渲染前），执行安全替换：// 假设 $content 来自数据库，$lang = 'en' 或 'fr' $content = strtr($content, ['__LANG__' => htmlspecialchars($lang, ENT_QUOTES, 'UTF-8')]); echo $content;
⚠️ 注意：务必使用 htmlspecialchars() 对 $lang 进行转义，防止 XSS。若 $lang 来自可信上下文（如配置文件），可省略；若来自用户输入（如 URL 参数），必须严格过滤。
-
进阶：支持多占位符（可选）
可扩展为统一管理多个动态变量：$replacements = [ '__LANG__' => htmlspecialchars($lang, ENT_QUOTES), '__DOMAIN__' => htmlspecialchars($domain, ENT_QUOTES), '__VERSION__' => 'v2.1', ]; $content = strtr($content, $replacements);
❌ 为什么不推荐其他方式？
- protect 配置 + eval() 或 include：极不安全，等同于开放远程代码执行漏洞；TinyMCE 的 protect 仅用于临时保留字符串，无法恢复可执行 PHP。
- <base> 标签：仅影响相对路径解析，无法解决 /products/xxx → /$lang/products/xxx 的路径前缀注入需求。
- 客户端 JS 替换：语言信息可能未正确传递、SEO 不友好、首屏闪烁，且无法保障链接在爬虫或无 JS 环境下可用。
✅ 总结
- ✅ 安全：零 PHP 执行，无注入风险；
- ✅ 简洁：无需修改 TinyMCE 配置或引入复杂插件；
- ✅ 可维护：占位符直观，支持批量管理与国际化扩展；
- ✅ 兼容：适用于任何 CMS 或自研后台，与 Laravel、Symfony、WordPress 等框架无缝集成。
始终牢记：富文本编辑器的内容本质是「数据」，而非「代码」。动态逻辑应留在服务端可控范围内处理——这才是健壮 Web 应用的设计准则。
