HTML属性中转义的JSON是否会引发第三方解析问题？

转义后的JSON是否会引发第三方读取异常？ #

多数情况下不会。标准HTML解析器会自动将属性值中的HTML实体（如"）解码为原始字符。第三方只要通过标准方法读取meta的value属性（比如前端用document.querySelector('meta[name="foo"]').value，后端用正规HTML解析库提取），拿到的都会是正常的JSON字符串，可直接解析。

但如果第三方的读取逻辑是非标准的（比如直接用正则截取未解析的HTML源码），就可能拿到带"的字符串，导致JSON解析失败。不过这种实现方式并不规范，出现概率较低。

PHP输出正确格式的解决办法 #

你用htmlspecialchars(json_encode($data))得到转义结果，是因为htmlspecialchars会把JSON里的双引号转成"。要生成示例2的原生JSON格式，有两种可靠方案：

方案1：用单引号包裹meta的value属性 #

输出HTML时，用单引号作为属性值的分隔符，这样JSON里的双引号无需转义，直接输出即可：

$data = ['name' => 'xyz', 'link' => 'https://website.com/'];
$jsonStr = json_encode($data);
echo '<meta name="foo" value=\'' . $jsonStr . '\'>';

输出结果就是你想要的格式：

<meta name="foo" value='[{"name":"xyz","link":"https://website.com/"}]'>

方案2：双引号包裹属性值的正确转义 #

如果必须用双引号包裹属性值，htmlspecialchars的转义是符合HTML规范的，第三方标准解析会自动解码。但要确保转义参数正确，默认的ENT_COMPAT已足够：

echo '<meta name="foo" value="' . htmlspecialchars(json_encode($data), ENT_COMPAT) . '">';

这种方式输出的是转义后的HTML，但第三方读取属性值时会得到正常JSON。

提前规避风险的建议 #

• 优先选方案1，原生JSON格式能最大程度兼容各种读取逻辑，避免不必要的问题。
• 自行验证：用前端JS读取转义后的meta属性值，执行JSON.parse测试；或用PHP的DOMDocument提取属性值，检查是否为可解析的JSON。

内容的提问来源于stack exchange，提问作者sqzr