本文介绍如何将数据库中存储的多语言代码（如 HTML、CSS、PHP）以可读格式安全渲染到网页，既保留原始换行结构，又防止 XSS 攻击。核心方法是先转义特殊字符，再将换行符 替换为 标签。
本文介绍如何将数据库中存储的多语言代码（如 html、css、php）以可读格式安全渲染到网页，既保留原始换行结构，又防止 xss 攻击。核心方法是先转义特殊字符，再将换行符 `
` 替换为 `
` 标签。
在 Web 开发中，常需将用户提交或管理员录入的源代码（如 HTML 片段、CSS 样式、PHP 脚本）持久化保存至数据库，并在前端页面中「展示」而非「执行」。此时面临两个关键问题：
-
安全风险：直接
echo $code会导致浏览器解析并执行 HTML/JS，引发 XSS 漏洞； -
格式丢失：使用
htmlspecialchars()虽能转义, <code>>,&等字符，但会将原始换行符（
根本原因在于：数据库中存储的换行符通常是 字面量
字符串（即反斜杠 + 字母 n），而非真正的换行控制符（ASCII 10）。因此，不能依赖 nl2br()（它仅处理真实换行符），而应先用 str_replace() 显式替换字面量
为 <br>，再统一进行 HTML 实体转义。
✅ 正确做法（PHP 示例）：
// 假设 $stmt['html'] 是从数据库取出的含 "
" 字符串
$escaped = htmlspecialchars($stmt['html'], ENT_QUOTES, 'UTF-8');
$formatted = str_replace('
', '<br>', $escaped);
echo $formatted;⚠️ 注意事项：
立即学习“前端免费学习笔记（深入）”；
-
顺序不可颠倒：必须先
htmlspecialchars()再str_replace()。若先替换<br>，后续转义会把和 <code>>变成<code>>，导致<br>失效； -
避免误用
nl2br()：它只识别真实换行符（' '（长度为2的字符）完全无效； -
兼容 Windows 换行：如需支持
$formatted = str_replace([" ", ' ', ' '], '<br>', htmlspecialchars($stmt['html'], ENT_QUOTES, 'UTF-8'));
-
增强可读性（可选）：结合
<pre class="brush:php;toolbar:false;"><code></code> 标签与 CSS <code>white-space: pre-wrap</code>，可同时保留缩进与换行，更贴近代码编辑器体验。</pre>
总结：安全展示数据库代码 = 转义优先 + 字面换行符显式替换。这一模式同样适用于其他服务端语言（如 Python 的 html.escape().replace('\n', '<br>')），关键是理解数据中换行符的存储形态，而非机械套用内置函数。
