直接拼接$_GET或$_POST值到JavaScript字符串中极易引发XSS，必须用json_encode($data, JSON_UNESCAPED_UNICODE)输出合法JSON，且不额外加引号；htmlspecialchars对此无效。
直接把 $_GET 或 $_POST 的值拼进 JavaScript 字符串里，等于给 XSS 开了一扇没锁的门——哪怕只漏一个单引号、一个双引号、一个尖括号，都可能让恶意脚本执行。
为什么 echo "var name = '$user_input';" 是危险操作
PHP 输出时不做处理，JS 解析器会把拼进去的内容当代码执行。比如用户提交 ' + onerror=alert(1) + '，最终生成：
var name = '' onerror=alert(1)'';
这行 JS 语法错误但可能触发事件监听，或更糟：配合 HTML 上下文变成完整 XSS payload。
- 字符串未闭合就提前结束，后续内容被当作 JS 执行
- 若输出位置在 HTML 属性里（如
data-value="..."），还可能逃逸成属性注入 -
json_encode()能自动处理引号、反斜杠、Unicode 控制字符，htmlspecialchars()对 JS 无效
json_encode() 是最稳妥的 PHP → JS 变量传递方式
它专为跨语言数据序列化设计，输出是合法 JSON 字面量，可直接赋值给 JS 变量，且天然防 XSS。
Json Schema Toolkit
下载
使用 JSON Schema 验证 JSON 数据，从示例 JSON 生成 schema，并将其转换为 TypeScript 接口、Python 数据类或 Markdown 文档。
立即学习“PHP免费学习笔记（深入）”；
- 必须用双引号包裹，且传入第二个参数
JSON_UNESCAPED_UNICODE | JSON_HEX_TAG（可选，增强兼容性） - 对 null、布尔、数字、字符串、数组都安全，包括含
<script>、\"、换行符等特殊内容 - 不要手动加引号：
var data = <?php echo json_encode($user_input); ?>;（正确） - 别写成：
var data = "<?php echo json_encode($user_input); ?>";（错误：多套一层引号导致解析失败）
哪些场景不能只靠 json_encode()
当 PHP 变量要嵌入 JS 字符串模板、正则字面量、函数名或动态键名时，json_encode() 不够用，需额外约束输入。
- 作为函数名调用：
<?php echo $callback_name; ?>(...)→ 必须白名单校验：in_array($callback_name, ['success', 'error']) - 拼进正则：
new RegExp('<?php echo preg_quote($pattern, '/'); ?>')→ 用preg_quote()转义分隔符 - 插入到 HTML 属性再由 JS 读取：
data-id="<?php echo htmlspecialchars($id, ENT_QUOTES, 'UTF-8'); ?>"→ JS 侧用dataset.id读，不拼接 - 绝对禁止：
eval()、Function()、setTimeout(string)等动态执行字符串的 JS API
开发时容易忽略的边界点
很多开发者以为用了 json_encode() 就万事大吉，但实际部署中几个细节常被跳过：
- PHP 输出前若启用了输出缓冲（ob_start），且中间有非 UTF-8 编码内容，
json_encode()可能返回 false 或乱码 - JS 运行环境若禁用了
JSON.parse()（极少见但存在），需 fallback 到eval()—— 此时必须先做严格白名单过滤，绝不可绕过 - Vue/React 等框架中通过
v-html或dangerouslySetInnerHTML渲染服务端传来的 HTML 片段，即使数据来自json_encode()，也要确保原始 PHP 变量已用htmlspecialchars()处理过 - 调试时用
console.log(<?php echo json_encode($debug_data); ?>)没问题，但上线后应移除或限制敏感字段输出
真正麻烦的不是“怎么转”，而是“在哪转”——变量从用户输入进来，经过验证、存储、再取出、最后输出，每个环节的上下文不同，转义策略也不同。JS 上下文里的字符串，永远只信任 json_encode()；HTML 上下文里的文本，只信任 htmlspecialchars()；数据库查询参数，只信任预处理绑定。混用就是漏洞温床。
