PHP变量直接插进JS标签危险，因浏览器只解析最终HTML字符串是否合法JS语法；用户输入含");、'等会提前闭合字符串或注入代码，htmlspecialchars无效，必须用json_encode()并外层双引号包裹。
PHP变量直接插进<script>标签里为什么危险</script>
因为浏览器解析 JS 时，不看 PHP 是怎么 echo 的，只看最终 HTML 里生成的字符串是否构成合法 JS 语法。一旦用户输入包含 ");、*/、单引号闭合或换行，就可能提前结束字符串、注释掉后续校验，甚至注入新语句。
典型翻车场景：echo "var name = '$_GET[username]';"; 遇到用户名为 O'Reilly 或 test'; alert(1)//，JS 直接报错或执行恶意代码。
- htmlspecialchars() 在这里完全无效——它转义的是 HTML 实体，不是 JS 字符串边界
- json_encode() 是唯一推荐方式，它保证输出是合法 JSON 字面量，且自动处理引号、反斜杠、Unicode 和控制字符
- 必须外层加双引号包裹：
var data = <?php echo json_encode($str, JSON_UNESCAPED_UNICODE); ?>;，不能写成"<?php echo json_encode(...) ?>"
json_encode() 的必要参数和常见坑
json_encode() 默认行为在 XSS 场景下不够安全：不处理 Unicode 中的控制字符（如 U+2028、U+2029），某些老版本 PHP 对 \u0000 处理异常，且默认不兼容 HTML 内联脚本的上下文。
- 务必加上
JSON_UNESCAPED_UNICODE：避免中文被转成\u4f60，影响可读性和调试 - 生产环境建议补上
JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT，防止特殊字符绕过（尤其当 JS 变量用于 innerHTML 或 eval 场景） - 别用
JSON_FORCE_OBJECT强制转对象——如果原始值是字符串，会变成{"0":"x","1":"y"}，破坏业务逻辑 - 空数组
[]和空对象{}输出不同，注意前端 JS 类型判断
HTML 属性里放 JS 变量也得小心
比如 <div data-user='<?php echo $_GET["user"]; ?>'> 这种写法，即使用了 json_encode()，若没配合引号和属性上下文处理，仍可能被闭合。
立即学习“PHP免费学习笔记（深入）”；
- 属性值必须用双引号或单引号包裹，且与
json_encode()输出的引号类型匹配（推荐统一用双引号） - 正确写法：
<div data-user="<?php echo json_encode($_GET['user'], JSON_UNESCAPED_UNICODE); ?>"> - 错误写法：
<div data-user=<?php echo json_encode(...); ?>>（没引号，空格或特殊字符直接断开属性） - 不要混用
htmlspecialchars()和json_encode()：前者针对 HTML，后者针对 JS；在属性中嵌 JS 值，只用后者 + 引号
动态拼接 JS 字符串时的替代方案
真要拼接字符串（比如构建 URL 或模板），别手写 + 或 .，优先走数据驱动：把原始数据塞进 JS 变量，再由 JS 模板引擎（如 template literals）处理。
- 危险拼接：
var url = "https://api.example.com/?q=" + "<?php echo htmlspecialchars($_GET['q'], ENT_QUOTES, 'UTF-8'); ?>";—— htmlspecialchars 不防 JS 注入，且 URL 编码缺失 - 安全做法：
var q = <?php echo json_encode($_GET['q'], JSON_UNESCAPED_UNICODE); ?>; var url = `https://api.example.com/?q=${encodeURIComponent(q)}`; - 如果必须服务端拼 URL，用
urlencode()处理参数值，而不是htmlspecialchars() - 避免
eval()、new Function()、innerHTML +=等动态执行模式，它们天然绕过所有 PHP 转义
最易被忽略的一点：同一个变量在 HTML、JS、URL 三处同时使用时，每处都要按各自上下文单独转义——没有“一劳永逸”的函数，也没有“全局过滤”能替代上下文感知的输出处理。
