php原生模板渲染可用include+extract实现，配合ob_start()捕获输出，需手动htmlspecialchars转义防xss，推荐绝对路径引用模板并避免过早抽象。
直接用 include + extract() 就能实现最简模板渲染
PHP 原生没有内置模板引擎，但靠语言特性可以几行代码搭出可用的模板逻辑。核心是：把数据数组导入作用域，再 include 一个纯 HTML/PHP 混写文件。不依赖 Composer、不引入第三方库，适合小项目或快速原型。
常见错误是直接 echo 拼接 HTML —— 难维护、易 XSS、无变量隔离；或者误用 eval() 执行模板字符串 —— 安全风险极高，绝对禁止。
-
extract($data, EXTR_SKIP)把数组键转为变量，EXTR_SKIP防止覆盖已有变量（比如$data自身） - 模板文件（如
user.tpl.php）里直接写<h1>= htmlspecialchars($name) ?></h1>，注意手动转义 - 模板中不能访问函数作用域外的变量（除非全局声明），
extract()只影响当前作用域
为什么不用 ob_start() + include？它其实更稳妥
单纯 include 会立刻输出内容，无法捕获、修改或缓存。真实场景中你往往需要「先渲染、再处理」—— 比如加 HTTP 头、套 layout、做 SEO 替换。这时必须用输出缓冲。
function render($template, $data = []) {
extract($data, EXTR_SKIP);
ob_start();
include $template;
return ob_get_clean();
}
<p>// 使用
$html = render('post.tpl.php', ['title' => 'Hello', 'content' => '<script>']);
echo $html;关键点：
立即学习“PHP免费学习笔记（深入）”；
-
ob_start()启动缓冲后，include的输出不会直刷到浏览器，而是暂存内存 -
ob_get_clean()返回内容并清空缓冲区；用ob_get_contents()则不清空，适合多次读取 - 如果模板里有
exit或未捕获异常，缓冲可能未清理，建议加try/catch包裹
htmlspecialchars() 必须在模板里显式调用，不能靠自动过滤
PHP 没有类似 Django 的自动 HTML 转义机制。所有用户输入（包括数据库查出的内容）在模板中输出前，必须手动过一遍 htmlspecialchars()，否则 XSS 漏洞直接暴露。
别信“我只显示纯文本”—— 一旦字段内容来自表单、URL 参数、API 回传，就不可信。
- 错误写法：
<p>= $user_input ?></p> - 正确写法：
<p>= htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8') ?></p> - 可封装短函数简化：
function e($s) { return htmlspecialchars($s, ENT_QUOTES, 'UTF-8'); }，然后= e($user_input) ?> - 注意：
ENT_QUOTES确保单双引号都被转义，'UTF-8'明确编码，避免乱码和绕过
复杂模板要拆 layout 和 section，但别过早抽象
两个文件就能支撑基础复用：layout.php 定义 HTML 结构，content.php 只写业务块。用 define('IN_CONTENT', true) 防止模板被直接访问，再靠 include 组合。
<!-- layout.php --> <!DOCTYPE html> <html> <body> <header>My Site</header> <main> <?php include $content; ?> </main> </body> </html> <!-- 渲染时 --><p><?php $content = 'post.tpl.php'; include 'layout.php'; ?>
容易踩的坑：
- 路径问题：模板路径最好用绝对路径（
__DIR__ . '/templates/post.tpl.php'），避免相对路径在不同入口下失效 - 变量作用域断裂：在
layout.php中定义的变量，$content文件里访问不到 —— 因为include是独立作用域 - 不要为了“像 Twig”而提前写继承语法、block 标签，原生 PHP 模板的价值就在于简单可控
真正麻烦的是嵌套层级深、多处动态插入、需条件加载 JS/CSS 的页面 —— 那时候该考虑上轻量引擎（如 Plates）或框架集成方案，而不是硬撑原生逻辑。
