php怎样实现模板渲染_php实现模板渲染简单逻辑【模板】-php教程-PHP中文网

PHP原生模板渲染可用include+extract实现，配合ob_start()捕获输出，需手动htmlspecialchars转义防XSS，推荐绝对路径引用模板并避免过早抽象。

php怎样实现模板渲染_php实现模板渲染简单逻辑【模板】

直接用 `include` + `extract()` 就能实现最简模板渲染

PHP 原生没有内置模板引擎，但靠语言特性可以几行代码搭出可用的模板逻辑。核心是：把数据数组导入作用域，再 include 一个纯 HTML/PHP 混写文件。不依赖 Composer、不引入第三方库，适合小项目或快速原型。

常见错误是直接 echo 拼接 HTML —— 难维护、易 XSS、无变量隔离；或者误用 eval() 执行模板字符串 —— 安全风险极高，绝对禁止。

extract($data, EXTR_SKIP) 把数组键转为变量，EXTR_SKIP 防止覆盖已有变量（比如 $data 自身）
模板文件（如 user.tpl.php）里直接写 = htmlspecialchars($name) ?>，注意手动转义
模板中不能访问函数作用域外的变量（除非全局声明），extract() 只影响当前作用域

为什么不用 `ob_start()` + `include`？它其实更稳妥

单纯 include 会立刻输出内容，无法捕获、修改或缓存。真实场景中你往往需要「先渲染、再处理」—— 比如加 HTTP 头、套 layout、做 SEO 替换。这时必须用输出缓冲。

function render($template, $data = []) {
    extract($data, EXTR_SKIP);
    ob_start();
    include $template;
    return ob_get_clean();
}
<p>// 使用
$html = render('post.tpl.php', ['title' => 'Hello', 'content' => '<script>']);
echo $html;</script></p>

关键点：

ob_start() 启动缓冲后，include 的输出不会直刷到浏览器，而是暂存内存
ob_get_clean() 返回内容并清空缓冲区；用 ob_get_contents() 则不清空，适合多次读取
如果模板里有 exit 或未捕获异常，缓冲可能未清理，建议加 try/catch 包裹

`htmlspecialchars()` 必须在模板里显式调用，不能靠自动过滤

PHP 没有类似 Django 的自动 HTML 转义机制。所有用户输入（包括数据库查出的内容）在模板中输出前，必须手动过一遍 htmlspecialchars()，否则 XSS 漏洞直接暴露。

别信“我只显示纯文本”—— 一旦字段内容来自表单、URL 参数、API 回传，就不可信。

Ai Seo

用于当用户想要审核某个网址是否符合AI引用条件、检查AI系统不引用该页面的原因、评估AI概览或引用的价值，以及生成...

下载

错误写法：= $user_input ?>
正确写法：= htmlspecialchars($user_input, ENT_QUOTES, 'UTF-8') ?>
可封装短函数简化：function e($s) { return htmlspecialchars($s, ENT_QUOTES, 'UTF-8'); }，然后 = e($user_input) ?>
注意：ENT_QUOTES 确保单双引号都被转义，'UTF-8' 明确编码，避免乱码和绕过

复杂模板要拆 layout 和 section，但别过早抽象

两个文件就能支撑基础复用：layout.php 定义 HTML 结构，content.php 只写业务块。用 define('IN_CONTENT', true) 防止模板被直接访问，再靠 include 组合。

<!-- layout.php -->



<header>My Site</header><main><?php include $content; ?></main><!-- 渲染时 --><p><?php $content = 'post.tpl.php';
include 'layout.php';
?></p>

容易踩的坑：