你以为echo只是输出小弟？PHP中echo输出HTML的坑你踩过几个？

今天咱们得聊聊PHP里头那个echo输出HTML的小把戏。别小看这echo，你以为它就只是个简单的输出小弟？Too young, too simple！这事水可深了，一不小心就得掉坑里，当然里面也有不少让人眼花缭乱的技巧。咱们边说边看代码，顺便来点吐槽。

先来个简单的例子，echo输出一段HTML：

<?php

兄弟，来段代码秀一下，输出个标题“Hello, World！”怎么样？

?>

这看起来挺轻松的？可问题来了，要是你输出的HTML代码里出现了双引号，咋个办？举个例子：

来点刺激的，戳这个链接，直接点我，不拖泥带水！https://www.example.com，走你！

这时候你可能觉得，把整个字符串用单引号括起来不就解决了？没错，可要是你在HTML里用单引号？比如说：

这东西看起来还挺顺眼。可要是你既要用双引号，又要用单引号，还不想绕个弯子，那怎么办？这时候就得来个HEREDOC语法，帮你搞定。

echo <<<EOT

快戳我，链接就在眼前，不点白不点！这东西不点开，你的人生可能就缺了个亮点。

EOT;

HEREDOC这东西用起来挺带劲，双引号和单引号都不用绕弯子，写起来那叫一个爽。不过，别太得意，这货也有它的猫腻。比如说，EOT后面要是跟着空格，PHP就得跟你急眼，给你报错。再说了，HEREDOC里头变量都能被解读，要是你想躲开这茬，那就得用NOWDOC来救场。

echo <<<'EOT'

现在文档和这里文档那俩东西，区别就在于现在文档里的那些变量，它是不给解析的。这事很多人都不懂，面试的时候要是能说出来，那可就牛B了。

咱们得说说echo输出HTML那点事，一不小心就掉进XSS的坑里。要是你傻乎乎地直接把用户那啥输入的东西塞进HTML里，你的网站说不定就被黑了。就像这样：

这东西一看就是来搞破坏的，直接一股子脚本味儿，敢情是想给我来个弹窗警告？这招挺新鲜，XSS都玩儿上了。

这代码得这么来：输出个《div》标签，然后塞进去用户那啥输入，再塞个《/div》标签，完美！

这时候用户的小脚本要是跑起来，咱这网站就得挂了。咋整？赶紧来个htmlspecialchars，把那些怪符号给转成无害的。

这货直接输出个div标签，然后把用户输入给转义了，再塞进div里头。

这htmlspecialchars，把那些尖括号啊、双引号啊、跟和号啊都给转成HTML实体，弄的脚本就老实了。可别以为这样就万事大吉了，这htmlspecialchars的第二个参数你得留个心眼。默认情况下，它只管双引号，单引号它不管。你要是HTML里用的是单引号，那XSS的风险还是存在的。所以，咱们还是稳妥点，得这么写：

这ENT_QUOTES东西一开，htmlspecialchars那货儿就能把单引号和双引号都给转义了，搞定了，安全系数爆表。

咱得聊聊echo输出HTML那点事，挺多人就这么干：

echo '<div>';

echo 'Hello, World!';

这看起来没问题，实则写法挺糟糕。每次echo都让输出缓冲区刷新，这频繁的I/O操作简直让人头疼。有更好的方法：

输出这段代码：“

Hello, World!

”；这东西，简单得跟白开水似的。

一次性搞定的效率那是相当高。不过，要是你的HTML代码超级长，那你就先把它整到变量里去，最后再统一输出，省得麻烦。

$html = '<div>';

$html .= 'Hello, World!';

echo $html;

这样写既清晰，性能又好。

咱们得说说echo输出HTML那时候的又一高招——输出缓冲这事。有时候，你PHP脚本里头得中途吐点东西，但又不想让它立马跳出来。这时候，输出缓冲就能派上用场了。

ob_start();

$content = ob_get_clean();

开个输出缓冲开关，echo输出的内容先存起来，等用到ob_get_clean()这招，缓存里的东西才出来，缓冲也跟着清空。这招对付那些复杂的HTML输出挺管用，尤其得在输出前先整点活儿的时候。

比如，你可以在输出前检查用户权限：

if ($user->isAdmin()) {

来段代码秀秀，瞧瞧这“管理界面”标签，直接给你来个div标签，够直接！

}

echo $content;

这么一来，输出前你就能随心所欲地选啥输出，不用老费劲写那些if-else了。

行，今天咱们就说到这儿，PHP那点输出HTML的坑和那些小手段。简单来说：

这东西得小心使唤，别瞎搞引号那东西，搞不好就成笑话了。还有那啥代码，用HEREDOC或NOWDOC来简化，省得麻烦。

防范XSS捣乱，咱得把用户那啥给转成无害格式，就用那个htmlspecialchars。

提高性能，尽量减少echo的次数，一次性输出内容。

使用输出缓冲，灵活控制输出内容。

这些小东西看似简单，但搞开发时老碰见这些难题。今天这分享，希望能让你少掉进坑里，多搞点炫酷代码。下次咱们再深入探讨PHP的坑，再见！