应使用asset()函数统一管理CSS路径，避免硬编码；所有页面共用样式须收口至公共layout模板；动态主题需白名单校验与转义；启用哈希后缀确保缓存更新。
PHP项目里CSS引入混乱，根本不是路径写错的问题，而是没把“谁在什么时候加载什么”这件事交给统一机制管。
用 asset() 函数生成路径，别拼字符串
硬写 href="css/main.css" 看似简单，但一部署到子目录（比如 https://example.com/myapp/）就 404；用 $_SERVER['SCRIPT_NAME'] 手动推导又容易出错。ThinkPHP、Laravel 这类框架都内置了 asset()，它会自动补全 public 目录和域名前缀。
- 正确写法：
<link rel="stylesheet" href="{:asset('static/css/main.css')}"> - 错误写法：
<link rel="stylesheet" href="css/main.css">（相对路径依赖当前 URL）、<link rel="stylesheet" href="<?php echo $_SERVER['DOCUMENT_ROOT'] ?>/css/main.css">（DOCUMENT_ROOT是服务器路径，不是 URL） - 如果不用框架，自己实现一个轻量
asset()：检查$_SERVER['REQUEST_URI']是否含子路径，再拼上/public/前缀，比每次手算安全得多
所有页面共用的样式，必须收口到公共 layout 模板
每个 PHP 页面都单独写一遍 <link>，等于把维护权交给了每个开发者——改个颜色要搜 20 个文件，漏改一个就样式不一致。
- 建一个
layout.php或header.php，里面集中写：<link rel="stylesheet" href="{:asset('static/css/shared.css')}"> - 所有页面用
include 'layout.php';或模板继承方式加载，确保 CSS 引入位置、顺序、数量完全一致 - 避免在子页面里再重复
include 'header.php'后又手动加<link>—— DevTools Network 面板里能看到同个 CSS 加载两次
动态主题切换时，CSS 文件不能靠 $_GET 拼接
写成 href="css/<?php echo $_GET['theme']; ?>.css" 是典型 XSS + 路径穿越高危操作，%2e%2e 可绕过 basename()，用户能直接读取服务器任意文件。
立即学习“PHP免费学习笔记（深入）”；
- 主题名必须走白名单映射：
$themes = ['light' => 'light', 'dark' => 'dark', 'blue' => 'blue']; $theme = $themes[$_GET['theme'] ?? 'light'] ?? 'light'; - 校验字符范围：
preg_match('/^[a-z0-9_-]+$/i', $theme)不通过就 fallback 到默认值 - 输出前转义：
sprintf('css/%s.css', htmlspecialchars($theme, ENT_QUOTES))，不用字符串插值 - 更稳妥的做法：主题只控制 CSS 变量（
:root中的--primary-color），CSS 文件本身固定加载，避免额外 HTTP 请求和加载竞态
最常被忽略的一点：CSS 文件是否被浏览器缓存，不取决于你写了没写 Cache-Control，而取决于它的 URL 是否变化。用 asset() 生成带哈希后缀的路径（如 main.a1b2c3.css），才能真正让更新生效；否则用户本地缓存的旧 CSS 会一直用下去，连清缓存都未必解决。
