php代码在页面加载时只执行一次，因它是服务端语言，所有逻辑在浏览器收到响应前已完成；js无法动态执行php，需通过ajax等新http请求触发全新php执行周期。
PHP代码在页面加载时只执行一次
PHP是服务器端语言，所有php代码在浏览器收到响应前就已全部执行完毕。你写的echo "hello";、$_POST读取、file_get_contents()调用，都在服务器上跑完，生成纯HTML/JS后发给浏览器——浏览器里根本看不到<?php ?>标签，也绝不会重新执行它们。
常见错误现象：在<script></script>里写<?php echo $data; ?>，以为JS能“实时读取”PHP变量；结果发现页面刷新后值没变，或AJAX请求时PHP逻辑没触发——其实是因为那段PHP早在页面发出前就执行完了，JS拿到的只是快照。
- PHP变量必须在页面生成阶段就嵌入到JS中（如
var userId = <?php echo json_encode($user_id); ?>;） - 想让PHP“再次运行”，必须发起新HTTP请求（比如AJAX、表单提交、location.href跳转）
- 不要在JS里写
<?php ?>试图动态执行PHP逻辑——它不会生效，只会被当成字符串或报错
AJAX请求会触发全新的PHP执行周期
当JS用fetch()或XMLHttpRequest向action.php发请求，服务器会**重新加载并从头执行**那个PHP文件，和页面初始加载时完全独立。这意味着$_POST、$_GET、session、数据库连接等都得重新初始化。
使用场景：提交表单不刷新页面、加载列表分页、校验用户名是否可用——这些动作背后都是另一次完整的PHP生命周期。
- 确保目标PHP文件能独立处理请求（比如检查
if ($_SERVER['REQUEST_METHOD'] === 'POST')） - 别依赖页面初始PHP中定义的变量（如
$config），除非你显式传参或用session共享 - 注意CSRF防护：AJAX请求也要验证
$_POST['token']，不能因为“是自己发的”就跳过
JS无法直接读取未暴露的PHP变量
PHP变量只存在于服务器内存里，JS运行在浏览器中，两者没有共享内存。你不能用document.phpVar或window.phpData直接访问——除非你主动把它“倒出来”。
参数差异明显：json_encode()比echo安全得多，尤其含引号、换行、Unicode时；裸echo $str进JS会导致语法错误。
- 正确做法：
var data = <?php echo json_encode($arr, JSON_UNESCAPED_UNICODE); ?>; - 错误写法：
var data = "<?php echo $str; ?>";（XSS风险 + 引号破坏JS结构） - 复杂对象建议走AJAX接口，而不是全量塞进初始HTML，避免首屏加载过大
服务端令牌（Token）校验必须严格匹配执行时机
像防重复提交用的token，本质是“一次性凭证”。PHP生成后存Redis或Session，JS携带它发起AJAX请求；服务端收到后必须立即校验+删除——否则第二次请求还能通过。
容易踩的坑：把token存在JS变量里反复用；或PHP校验后没unset($_SESSION['token'])；或Redis设置过期时间太长，导致窗口期失控。
- 生成token时用
bin2hex(random_bytes(32))，别用md5(time()) - 校验逻辑必须原子化：
if (redis->del($token) === 1) { /* 执行业务 */ } - 前端提交后立即将按钮置为disabled，防止用户手动连点——这是UI层兜底，不是替代服务端校验
服务端和客户端的执行边界非常清晰：PHP管“生成时”，JS管“运行时”。混淆这两者，是绝大多数跨语言交互问题的根源。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
