本文介绍如何安全地将数据库中存储的多语言代码（如 HTML、CSS、PHP）以可读格式展示在网页上，既保留原始换行结构，又防止 HTML 被浏览器执行。核心方案是先转义特殊字符，再将换行符 替换为 标签。
本文介绍如何安全地将数据库中存储的多语言代码（如 html、css、php）以可读格式展示在网页上，既保留原始换行结构，又防止 html 被浏览器执行。核心方案是先转义特殊字符，再将换行符 `
` 替换为 `
` 标签。
在 Web 开发中，常需在页面上展示源码片段（例如教学示例、代码文档或调试日志）。若直接输出数据库中存储的 HTML 字符串，浏览器会将其解析并渲染，导致代码“消失”或产生意外效果；而若仅用 htmlspecialchars() 转义，则所有换行符
会被忽略——因为 HTML 默认忽略空白符（包括换行），最终整段代码挤在一行，完全丧失可读性。
正确做法是两步处理：
-
先转义：使用
htmlspecialchars()将, <code>>,",',&等字符转换为 HTML 实体，确保代码不被解析； -
再换行：将字符串中的
<br>标签，显式插入换行。
⚠️ 注意：常见误区是误用双引号写法 "
" ——这会触发 PHP 解析为真实换行符；但数据库中若存的是字面字符串 \n 或
（未转义的文本），则必须用单引号 '
' 进行精确匹配：
// ✅ 正确：匹配数据库中存储的字面 '
' 字符序列
echo str_replace('
', '<br>', htmlspecialchars($stmt['html']));
// ❌ 错误："
" 会被 PHP 解释为真实换行，无法匹配文本中的
字符
// echo str_replace("
", '<br>', htmlspecialchars($stmt['html']));更健壮的实践建议结合 nl2br()（专用于将真实换行转 <br>）与 htmlspecialchars() 的顺序调用。若数据库中已存真实换行符（Unix
或 Windows
），推荐以下方式：
立即学习“前端免费学习笔记（深入）”；
// ✅ 更通用：先转义，再将真实换行转为 <br> echo nl2br(htmlspecialchars($stmt['html'], ENT_QUOTES, 'UTF-8'));
该写法自动兼容
、
和
，且指定字符编码避免乱码。最后，为提升可读性，建议将代码块包裹在 <pre class="brush:php;toolbar:false;"><code></code> 中，并添加 CSS 样式（如 <code>white-space: pre-wrap; font-family: monospace;</code>），实现等宽字体+自动换行+保留空格。</pre>
总结：安全展示源码 = htmlspecialchars() 防执行 + nl2br()（或 str_replace()）保换行 + <pre class="brush:php;toolbar:false;"><code></code> 优化排版。切勿跳过转义，也勿混淆字面 <code>
</code> 与真实换行符。</pre>
