dom方案才是真安全,正则只是轻量妥协;需先用preg_quote转义变量,再用(skip)(fail)跳过标签仅替换文本,但对script/style/注释及不规范html无效,复杂场景必须用domdocument解析操作textcontent。

用 (*SKIP)(*FAIL) 跳过所有标签再匹配文本
直接写 preg_replace('/ts/', 's', $html) 会把 <img src="Sqstso.jpeg"> 里的 ts 也替掉,URL 就废了。核心是让正则“看到标签就绕开,只在纯文本里干活”。PCRE 的 (*SKIP)(*FAIL) 正好干这事:/]*>(*SKIP)(*FAIL)|ts/i —— 先贪婪匹配任意标签(]*>),匹配成功后立刻跳过、不回溯、不替换;竖线后面才是你真正想换的 ts,它只会在被跳过的标签之外生效。
preg_quote() 必须加,否则搜索词含 . * 会炸
如果你要替换的不是固定字符串而是变量,比如 $search = 'J2';,不转义就直接拼进正则,. 会被当通配符,* 会重复前一个字符——结果完全不可控。必须用 preg_quote($search, '/') 包一层。示例:$regex = '/]*>(*SKIP)(*FAIL)|' . preg_quote($search, '/') . '/i';。漏掉这步,哪怕正则逻辑对了,也会因元字符失控导致空替换或全串崩坏。
文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图,自动匹配视觉风格。触发场景:文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。
别指望它识别 <script></script> 或注释,这些得手动预处理
(*SKIP)(*FAIL) 只跳 HTML 标签,对 <script></script>、<style></style>、<!-- comment --> 这些“伪标签”无感。如果 HTML 里有 <script>var a = "J2";</script>,你的 J2 还是会被替成 J<sup>2</sup>。解决办法只有两个:
- 先用
preg_replace把<script>.*?</script>、<style>.*?</style>、<!--.*?-->替换成占位符(如###SCRIPT###); - 做完主替换后再把占位符还原。
DOM 方案才是真安全,正则只是轻量妥协
如果 HTML 来自用户输入、含 SVG/MathML、或结构不规范(比如属性值里有 >),]*> 就会失灵——它假设标签里没有右尖括号,现实里 <div data-attr="a>b"> 就能卡死它。这时候唯一靠谱的是 <code>DOMDocument:加载 HTML → 用 XPath 查 .//text() → 遍历每个 textContent 做 str_replace 或 preg_replace → 输出。正则方案省事,但边界 case 多到没法穷举;DOM 方案慢一点,但语义清晰、不猜结构、不碰属性——该换哪儿换哪儿,其余纹丝不动。










