php代码需写在.php文件中并由服务器解析，浏览器只接收最终html；本地双击或静态服务器无法执行php；短标签需配置启用，echo支持多参数输出。
PHP 代码怎么直接写在 HTML 文件里
能，但必须用 .php 后缀，且 Web 服务器（如 Apache、Nginx）要支持 PHP 解析。浏览器不认 <?php ?>，它只看到纯 HTML；真正执行 PHP 的是服务器——收到请求后先运行 PHP 代码，再把结果（纯 HTML）发给浏览器。
常见错误现象：localhost/test.php 页面直接显示 <?php echo "hello"; ?> 这串文字，没输出 hello——说明 PHP 没生效，不是语法错，是环境没配好。
- 文件必须保存为
xxx.php，不能是xxx.html - 本地双击打开
file://路径，PHP 绝对不执行（没经过服务器） - 用 XAMPP/MAMP/VS Code Live Server 等时，确认启动的是 PHP 服务，不是静态服务器
echo 和 = 有什么区别，什么时候该用哪个
echo 是语句，= 是 <?php echo ?> 的短标签缩写，功能完全一样，但启用依赖配置。
使用场景：输出变量、拼接字符串、动态插入 HTML 属性值，比如：<img src="<?php%20echo%20%24avatar;%20?>" alt="php和html怎么结合_php嵌入html代码与动态页面生成【方法】" > 或更简洁的 <img src="<?=%20%24avatar%20?>" alt="php和html怎么结合_php嵌入html代码与动态页面生成【方法】" >。
立即学习“PHP免费学习笔记（深入）”；
-
=在 PHP 5.4+ 默认开启，但某些旧服务器或 Docker 镜像可能关闭了short_open_tag，导致报错Parse error: syntax error, unexpected '=' - 如果团队协作或部署环境不确定，优先用
<?php echo $var; ?>，兼容性最稳 -
echo可一次输出多个参数（echo $a, $b, $c;），=只能接一个表达式
HTML 表单提交后，PHP 怎么安全地拿到数据
用 $_POST 或 $_GET，但绝不能直接 echo 或插入数据库——这是 XSS 和 SQL 注入的温床。
常见错误现象：用户在表单输入 <script>alert(1)</script>，页面弹窗；或输 ' OR '1'='1 导致数据库查出所有用户。
- 始终用
htmlspecialchars($_POST['name'], ENT_QUOTES, 'UTF-8')再输出到 HTML 中，防 XSS - 往数据库写前，必须用 PDO 预处理（
$stmt->execute([$name])）或至少mysqli_real_escape_string()，别拼 SQL 字符串 -
$_GET数据会暴露在 URL 里，敏感操作（如删文章）别用 GET；$_POST更适合传表单数据
include 和 require 加载 HTML 片段时要注意什么
它们能把公共头部、底部抽成独立文件，比如 header.php，然后在主页面里 include 'header.php'; —— 这个“片段”本身可以是纯 HTML，也可以混着 PHP 逻辑。
性能影响小，但路径和错误处理容易翻车。
- 路径是相对于当前执行脚本的，不是相对于被包含文件的——
require 'config/db.php'在/admin/index.php里运行，就从/admin/下找，不是从/config/ -
include找不到文件只警告，脚本继续；require直接致命错误中断，关键文件（如数据库配置）必须用require - 被包含的文件里不要写
DOCTYPE或重复，否则页面结构乱套
最常被忽略的一点：PHP 输出缓冲（ob_start()）不显式控制时，header() 重定向或设 Cookie 之前，哪怕多一个空格、BOM 字符、意外 echo，都会报 Cannot modify header information。检查所有被 include 的文件开头结尾有没有空白，比猜逻辑错误更快。
