PHP生成JS字符串应统一用json_encode()处理所有动态值，它自动转义引号、换行、Unicode和反斜杠；HTML内联JS需确保变量注入位置在JS字面量中，禁用拼接标识符；读JS模板须强制UTF-8编码并用唯一分隔符替换；include JS前须关闭错误显示并校验输出内容。
PHP 生成 JS 字符串时，引号和转义怎么不翻车
PHP 输出 JS 代码最常崩在引号嵌套和反斜杠逃逸上，比如 echo "var msg = '{$msg}';" 遇到 $msg = "He said: "Hi"" 就直接语法错误。JS 解析器看到未闭合的引号或非法转义会静默失败或报 SyntaxError: Unexpected token。
- 用
json_encode()处理所有动态值，它自动处理单双引号、换行、Unicode 和反斜杠 ——echo 'var data = ' . json_encode($php_array) . ';'; - 别手写
str_replace(['"', '\'], ['"', '\\'], $s)，漏掉 - 如果输出的是纯字符串变量（非 JSON 结构），仍要用
json_encode()包一层，不是只用addslashes()
在 HTML 中内联 PHP 生成的 JS，<script></script> 标签里怎么防 XSS
直接 echo $_GET['callback'] 插进 <script>...</script> 是典型 XSS 入口，浏览器会把恶意字符串当 JS 执行。哪怕加了 htmlspecialchars()，在 JS 上下文中也无效 —— 它只防 HTML 解析层，不防 JS 引擎解析。
- 所有从 PHP 注入 JS 上下文的变量，必须经过
json_encode()，且确保输出位置在 JS 字面量中（如赋值右侧、对象属性值） - 避免拼接函数名、方法名、键名等标识符，
json_encode()会给字符串加引号，导致obj.{$key}变成obj."user_name"报错；这种场景该用白名单映射：$allowed_keys = ['name', 'email']; $key = in_array($input, $allowed_keys) ? $input : 'name'; - 如果必须动态调用函数，改用事件或数据属性传参，而不是拼字符串执行：
<button data-action="edit" data-id="<?php echo (int)$id; ?>">，JS 侧统一监听
用 file_get_contents() 读 JS 模板再 str_replace()，为什么变量总替换不全
常见于“PHP 渲染 JS 模板”场景，比如读取 chart.template.js 后替换 {{data}}。问题不在正则，而在于 PHP 默认读文件是按当前 locale 编码，若模板含 UTF-8 BOM 或混合编码，str_replace() 会匹配失败，或替换后 JS 出现乱码导致解析中断。
- 强制用
file_get_contents($path, false, null, 0, -1, ['encoding' => 'UTF-8'])不行 —— PHP 的stream_context不支持 encoding 参数；正确做法是读完立刻mb_convert_encoding($content, 'UTF-8', 'auto') - 别用简单
str_replace(['{{data}}', '{{title}}'], [$data, $title], $template)，万一$data里含{{data}}字符串就套娃了；改用唯一分隔符，如__DATA__，或直接上preg_replace_callback()配合白名单 - 更稳的方式是放弃模板字符串替换，把数据单独输出为全局变量，JS 模板用标准模块方式加载（如 ES6
import），PHP 只负责注入数据上下文
用 ob_start() + include 输出 JS，为啥 Chrome 控制台报 Uncaught SyntaxError: Unexpected token '<'
这是 PHP 输出 JS 时混入了 HTML 错误响应的典型表现，比如 include('chart.js.php') 内部触发了 warning，PHP 把错误信息（含 <div> 或 <b>Warning</b>）直接 flush 到 JS 流里，JS 引擎一读到 < 就崩溃。
立即学习“PHP免费学习笔记（深入）”；
- JS 文件级 include 前必须关闭所有错误显示：
ini_set('display_errors', '0');，并确保error_reporting(0)—— 即使开发环境也要关，因为 JS 不吃 PHP 错误提示 - 用
ob_start()捕获输出后，检查内容是否以/*、var、function等 JS 特征开头，否则ob_end_clean()并抛异常，别让脏内容流出去 - 更干净的做法是把 JS 逻辑全写在纯 PHP 文件里（无 HTML 输出），用
header('Content-Type: application/javascript');直接响应，避免和页面 HTML 混淆
