如何安全地将 HTML 字符串嵌入 JSON 响应中并避免格式错误

本文讲解如何正确将动态生成的 html 内容作为字符串字段写入 json 响应，避免手动拼接导致的转义错误、json 格式损坏及 sql 注入风险。核心是统一使用 json_encode() 处理整个结构，并采用预处理语句保障数据库操作安全。

在 Web 开发中，常需将 HTML 片段（如患者信息卡片）作为字符串嵌入 JSON API 响应中供前端渲染。但若直接用字符串拼接构造 JSON（如 '{"entities": ' . $jasondata . '}'），极易因 HTML 中的引号、斜杠、换行符等未被正确转义而导致 JSON 无效——正如你遇到的 jsonformatter 报错问题：原始 HTML 中的双引号、/、\r\n 等字符未经 JSON 编码，破坏了整体结构。

✅ 正确做法是：让 json_encode() 全权负责整个数据结构的序列化，它会自动对字符串值（包括 HTML）进行标准 JSON 转义（如 " → \"，/ → \/，换行符转为 \n），确保输出严格符合 RFC 8259 规范。

以下是优化后的完整实现：

function patient_file() {
    $html = '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '
Fullname
salum said juma
Age / sex
12 male
Address
kariakoo dsm
File number
mn234
kitu package
scheme name
kitu number
1234567890
kiyutu
1919181716151
hihi in
12-03-2023
hihi out
12-03-2023
';
    return $html;
}

// 安全获取参数并查询
$folio = $_POST['folio'] ?? '';

// ✅ 使用预处理语句防止 SQL 注入（注意：确保 $conn 已正确初始化）
$stmt = mysqli_prepare($conn, "SELECT * FROM m_folio WHERE m_No = ?");
mysqli_stmt_bind_param($stmt, "s", $folio); // "s" 表示字符串类型；若 m_No 是整型，请用 "i"
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
$row = mysqli_fetch_assoc($result);

// 将 HTML 字符串注入数据数组
$row['cardata'] = patient_file();

// ✅ 关键：用 json_encode() 构建完整有效 JSON，无需手动拼接
$payload = json_encode([
    "entities" => [$row]
], JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);

// 设置响应头（可选，但推荐用于 API）
header('Content-Type: application/json; charset=utf-8');

echo $payload;

? 关键注意事项：

科大讯飞-AI虚拟主播

科大讯飞推出的移动互联网智能交互平台，为开发者免费提供：涵盖语音能力增强型SDK，一站式人机智能语音交互解决方案，专业全面的移动应用分析；

下载

立即学习“前端免费学习笔记（深入）”；

• 禁止字符串拼接 JSON：永远不要用 '{"key":' . $value . '}' 的方式构造 JSON，这是绝大多数 JSON 解析失败的根源；
• HTML 是普通字符串：json_encode() 会自动处理其中所有特殊字符，你只需保证 $row['cardata'] 是合法 PHP 字符串；
• SQL 安全必做：原始代码中 WHERE m_No='$folio' 存在严重 SQL 注入漏洞，必须改用预处理语句（mysqli_prepare + bind_param）；
• 类型匹配：bind_param 的类型标识符需与字段实际类型一致（"s" 字符串 / "i" 整数），否则可能查询失败；
• 错误处理建议：生产环境应添加 mysqli_stmt_error() 和 json_last_error() 检查，便于快速定位问题；
• 前端使用提示：返回的 cardata 是已转义的 HTML 字符串，前端需用 innerHTML（非 textContent）安全渲染。

通过以上重构，你的 JSON 输出将完全合规，可被任意 JSON 解析器（包括浏览器 JSON.parse()、Postman、curl 等）正确解析，同时大幅提升系统安全性与可维护性。