<p>PHP 输出 script 标签的关键在于安全、可控与职责分离：变量须用 json_encode() 转义，避免内联 JS 逻辑，优先用 data-* 属性或 application/json script 块传数据，显式声明 type 属性，并由 JS 自行处理 DOM 就绪时机。</p>
PHP 输出 <script> 标签本身不难，但直接拼接容易引发 XSS、执行时序错乱、HTML 结构污染等问题——关键不在“能不能输出”，而在“怎么输出才安全、可控、可维护”。
PHP 中 echo script 标签时必须转义变量内容
常见错误是把用户输入或数据库字段直接拼进 <script> 内部，比如：echo "<script>console.log('$user_input')</script>"。一旦 $user_input 包含 </script> 或引号闭合，整个脚本提前终止甚至注入恶意代码。
- 所有动态插入到 JS 字符串中的 PHP 变量，必须用
json_encode()处理（而非htmlspecialchars()）：它自动加引号、转义反斜杠、处理 Unicode，并保证生成合法 JS 字面量 - 示例正确写法：
echo "<script>console.log(" . json_encode($pass) . ");</script>"→ 输出<script>console.log("s3cR3tP@ss");</script> - 若变量是纯数字或布尔值，
json_encode()仍更安全；不要图省事用(int)或(bool)强转后直接拼接
避免在 PHP 中混写内联 JS 逻辑
把业务逻辑（如表单校验、状态切换）硬编码在 PHP 的 echo "<script>...</script>" 里，会导致 JS 无法复用、无法压缩、无法被浏览器缓存，调试也困难。
- 只用 PHP 输出数据，JS 逻辑全放在外部文件中：用
data-*属性或全局变量暴露必要参数 - 例如：
echo '<div id="user-info" data-uid="' . htmlspecialchars($uid) . '"></div>';，再由script.js读取document.getElementById('user-info').dataset.uid - 若必须传复杂结构，优先用
<script type="application/json">块封装，再由 JSJSON.parse()解析——比内联 JS 更清晰、更易测试
script 标签的 type 属性不能省略或写错
PHP 输出的 <script> 若没设 type，旧版浏览器可能拒绝执行；写成 language="javascript" 已被废弃，现代浏览器会忽略。
立即学习“PHP免费学习笔记（深入）”；
- 推荐显式声明：
<script type="application/javascript">（W3C 推荐）或<script type="text/javascript">（兼容性更广） - 不要写
<script language="php">—— 这是 PHP 的历史遗留标记，仅在极老版本中支持，且与前端 JS 完全无关 - 若用
defer或async，确保type同时存在，否则部分 Safari 版本会降级为阻塞加载
PHP 输出 script 后，DOM 就绪时机仍需 JS 自行保障
PHP 把 <script> 标签写进 HTML，并不等于其中的 JS 代码能立刻操作 DOM 元素——因为浏览器解析顺序和资源加载存在不确定性。
- 即使 PHP 在
</body>前输出<script>，也不能假设document.getElementById()一定返回非 null - 外部 JS 文件中，应使用
DOMContentLoaded或document.addEventListener('DOMContentLoaded', ...)包裹 DOM 操作逻辑 - 若用
defer加载外部脚本，可省略事件监听，但前提是该脚本不依赖其他未defer的资源（如未加载完的 CSS 中定义的 class）
真正容易被忽略的不是语法对不对，而是“谁该负责哪一段职责”：PHP 只管安全地吐出结构和数据，JS 只管交互逻辑和 DOM 操作——两者之间那条边界线，划歪了，问题就藏在看似运行正常的页面底下。
