PHP数组转HTML属性应手动拼接并用htmlspecialchars转义，禁用http_build_query；需区分布尔属性、过滤非法键名、避免XSS风险。
PHP数组转HTML属性字符串：用http_build_query不靠谱
直接用http_build_query拼HTML属性会出问题——它把空格编码成+，把引号忽略，还强制小写键名。比如['class' => 'btn btn-primary', 'data-id' => 123]会被转成class=btn+btn-primary&data-id=123，根本不能直接塞进标签里。
真正该用的是手动拼接 + htmlspecialchars，确保安全且格式可控。
最简安全写法：array_map + htmlspecialchars
核心逻辑是：遍历数组，对每个键值对生成key="value"，再用空格连接。值必须过htmlspecialchars防XSS，键名不做转义（前提是键名是你自己控制的、不含特殊字符）。
-
foreach最直观，适合调试和加条件逻辑（比如跳过null或空字符串） -
array_map更函数式，一行可读，但要注意array_filter要配好回调，否则false/0会被误删 - 所有值必须用
htmlspecialchars($val, ENT_QUOTES, 'UTF-8')，ENT_QUOTES确保单双引号都转义
$attrs = ['class' => 'btn btn-primary', 'data-id' => 123, 'disabled' => true];
$html_attrs = '';
foreach ($attrs as $key => $val) {
if ($val === null || $val === '') continue;
$escaped_val = htmlspecialchars((string)$val, ENT_QUOTES, 'UTF-8');
$html_attrs .= " $key=\"$escaped_val\"";
}
// 结果： class="btn btn-primary" data-id="123" disabled="1"
处理布尔属性（如disabled、required）
HTML里布尔属性存在即为真，不需要值。但PHP数组里通常用true/false表示，得单独判断。
立即学习“PHP免费学习笔记（深入）”；
- 如果值是
true且键名在布尔属性白名单里（如disabled、checked、readonly），只输出key，不带="true" - 如果值是
false或null，直接跳过该属性 - 别依赖
empty()判断，因为0、"0"也是false但可能是合法值
$boolean_attrs = ['disabled', 'checked', 'required', 'readonly'];
foreach ($attrs as $key => $val) {
if ($val === null) continue;
if (in_array($key, $boolean_attrs, true)) {
if ($val === true) $html_attrs .= " $key";
continue;
}
$escaped_val = htmlspecialchars((string)$val, ENT_QUOTES, 'UTF-8');
$html_attrs .= " $key=\"$escaped_val\"";
}
注意键名里的非法字符和大小写
PHP数组键名可以是任意字符串，但HTML属性名有规范：不能含空格、等号、双引号，建议全小写加短横线（kebab-case）。如果你的键名来自用户输入或配置，得提前清洗。
- 用
preg_replace('/[^a-z0-9\-_:.]/', '', strtolower($key))过滤非法字符 - 避免用
style、on*这类敏感属性名，除非你明确信任来源 - 不要把
class和className混用——HTML只认class，JSX才用className
复杂点在于：属性是否需要合并（比如多个class值）、是否支持data-*嵌套、要不要自动补aria-前缀。这些都不是通用转换能覆盖的，得按具体场景加逻辑。
