strip_tags第二个参数必须是字符串而非数组，PHP 7.2中传数组会触发警告且结果不可预期；正确写法为'strong br'等空格分隔的字符串，且标签需完整、小写、闭合。
strip_tags 第二个参数要传字符串，不是数组
PHP 7.2 中 strip_tags 的 $allowable_tags 参数只接受 字符串，不能传数组。传数组会触发警告（Warning: strip_tags() expects parameter 2 to be string, array given），且结果不可预期。
常见错误写法：
strip_tags($html, ['<p>', '<br>'])—— 这在 PHP 7.2 下直接报错。
正确写法是把多个标签拼成一个带空格分隔的字符串：
strip_tags($html, '<p> <br> <strong>')
- 注意：每个标签必须写完整闭合形式（如
<p>、<br>），但<br>实际上会被识别为<br>或<br/>，strip_tags内部不校验合法性 - 标签名大小写敏感，
<P>和<p>视为不同；建议统一小写
保留 <br> 标签时要注意换行丢失风险
strip_tags 剥离后不会自动把 <br> 转成换行符 \n，它只是“不删掉”这个标签——所以输出里会残留 <br> 字符串，浏览器可能渲染为文字而非换行。
立即学习“PHP免费学习笔记（深入）”；
如果你需要视觉换行，得额外处理：
- 先用
strip_tags($html, '<br>')
保留<br> - 再用
str_replace(['<br>', '<br/>', '<br />'], "\n", $output)替换为换行符 - 或者用
nl2br()反向操作（仅适用于你已转义过、且想把 \n 变回
的场景）
不闭合标签或破损 HTML 会导致意外截断
strip_tags 是基于简单字符串匹配的，不解析 DOM。遇到以下情况会出问题：
-
<p>hello <span>world（缺少闭合）→ 可能从<span>开始直到末尾全被当作文本删掉 -
<script>alert(1)</script>被完整剥离，但若写成<scr<script>ipt>，可能只删掉部分 - 属性内容含
>（如<div data-attr="a>b">）会提前终止标签识别，导致后续文本误判
所以，如果输入 HTML 来源不可信（如用户提交），不要依赖 strip_tags 做安全过滤，它防不住 XSS。
PHP 7.2 下没有内置多标签白名单的替代函数
PHP 7.2 不支持 strip_tags($html, ['p', 'br']) 这种数组写法，也没有 strip_selected_tags 这类标准函数。如果真需要更健壮的保留逻辑（比如只留内联标签、排除所有 <script> 和 <style>），只能自己封装：
- 用
DOMDocument加白名单遍历节点（较重，但安全） - 用正则预清洗（例如先
preg_replace('/<script\b[^>]*>.*?<\/script>/is', '', $html)） - 或者退一步：先
strip_tags($html)得纯文本，再用htmlspecialchars()输出，彻底放弃格式
真正容易被忽略的是：哪怕你写了
strip_tags($html, '<p> <br>')，只要原始 HTML 含有
<!-- comment --> 或 <?php ... ?>，它们仍会被一并清除——因为 strip_tags 默认就删 PHP/HTML 注释和指令，这个行为无法通过 $allowable_tags 改变。 
