直接使用 {!! $content !!} 输出数据库中存储的含 Blade 表达式（如 {{ prices[0] }}）的 HTML，不会触发二次编译，导致表达式原样显示；Laravel 默认禁止运行时动态编译 Blade，因其存在严重安全与架构风险。正确做法是将数据逻辑前置到控制器或服务层，再以变量形式注入视图。
直接使用 `{!! $content !!}` 输出数据库中存储的含 blade 表达式（如 `{{ prices[0] }}`）的 html，不会触发二次编译，导致表达式原样显示；laravel 默认禁止运行时动态编译 blade，因其存在严重安全与架构风险。正确做法是将数据逻辑前置到控制器或服务层，再以变量形式注入视图。
在 Laravel 中，Blade 模板引擎仅在应用启动时（或缓存更新时）对 .blade.php 文件进行一次编译，生成 PHP 代码并缓存执行——它不支持运行时对任意字符串内容进行二次 Blade 编译。因此，当你从数据库读取类似 {{ prices[0] }} {!! $content[0]['content'] !!} 渲染时，{{ prices[0] }} 会被当作纯文本输出，而非执行变量解析。
❌ 错误尝试：强制“二次编译”不可行且危险
虽然技术上可通过 BladeCompiler 手动编译字符串（例如使用 app('blade.compiler')->compileString($html)），但强烈不推荐，原因包括：
-
XSS 风险：数据库内容若含恶意脚本（如
{{ $user->name }}后被篡改为{{ $app->make('request')->fullUrl() }}），将直接获得应用上下文权限； - 性能开销：每次请求动态编译破坏 Blade 缓存机制，显著拖慢响应；
-
违反 MVC 原则：模板层（V）不应承担数据获取职责（如查询
prices表），这属于模型（M）或控制器（C）的范畴。
✅ 推荐方案：数据驱动 + 预处理模板
将动态内容解耦为「结构」与「数据」两部分：
-
数据库仅存 HTML 结构占位符（不含 Blade 语法），例如：
{{ price_value }} -
控制器中预处理并注入完整数据：
// Controller public function show() { $content = DB::table('pages')->where('slug', 'home')->value('body'); $prices = Price::latest()->take(5)->pluck('amount')->toArray(); // 使用 str_replace 或更健壮的模板引擎（如 Twig）替换占位符 $renderedContent = str_replace( '{{ price_value }}', htmlspecialchars($prices[0] ?? 'N/A', ENT_QUOTES, 'UTF-8'), $content ); return view('page', [ 'content' => $renderedContent, 'prices' => $prices, // 仍可传递供其他静态 Blade 区域使用 ]); } -
视图中安全输出：
{{-- page.blade.php --}} {!! $content !!} <!-- 其他静态 Blade 区域仍可正常使用 --> @if($prices) <div class="price-list">Latest: {{ $prices[0] }}</div> @endif
? 进阶建议：使用自定义指令或组件封装逻辑
若需复用复杂动态区块（如价格表、用户卡片），应定义 Blade 组件：
php artisan make:component DynamicPriceTable
{{-- resources/views/components/dynamic-price-table.blade.php --}}
| {{ $price }} |
然后在数据库内容中仅存占位标签（如 @include 或 @livewire 等方式组合渲染——彻底规避字符串模板注入问题。
总之，永远不要让数据库内容直接承载可执行模板逻辑。坚持“数据在控制器中准备，结构在 Blade 中声明，动态性通过组件和变量传递实现”，这才是 Laravel 安全、可维护、符合约定的实践路径。
