如何让PHP的script()方法返回JavaScript代码而非直接输出？

当前代码的问题 #

1. 方法声明返回string类型，但未编写任何return语句，在严格类型检查模式下会触发返回值类型不匹配的致命错误。
2. 代码通过?>跳出PHP上下文直接输出内容，会将JS代码直接发送到输出流，而非作为方法返回值返回，完全不符合“返回字符串形式JS代码”的需求。

保留<?=标签风格的修改方案 #

如果想继续使用<?=这类嵌入标签的写法，可以借助PHP的输出缓冲机制，捕获这段输出的内容并返回：

public function script(): string
{
    ob_start(); // 开启输出缓冲，后续输出内容会被暂存
    ?>
    <script type="text/javascript">
        const foo = {
            widgetcode: <?= json_encode($this->widget_code()) ?>,
        }
    </script>
    <?php
    return ob_get_clean(); // 获取缓冲内容并清空缓冲，将其作为返回值返回
}

额外注意事项 #

• 原代码中直接用'<?= $this->widget_code() ?>'存在风险：如果widget_code()返回的内容包含单引号、换行或特殊字符，会直接破坏JS语法，甚至引发XSS漏洞。改用json_encode()可以自动处理字符串转义，确保生成的JS语法合法且安全。
• 输出缓冲的方式完美保留了你偏好的<?=嵌入写法，同时满足了方法返回字符串的要求。

内容的提问来源于stack exchange，提问作者kross