PHP PDO操作MySQL：文章内容换行与HTML输出问题求助

架构老林

2026-8-4

问题解答

直接输出HTML是否为常规做法？

直接输出未经过滤的HTML不是安全的常规做法，因为会存在XSS跨站脚本攻击风险——恶意用户可插入窃取信息、篡改页面的恶意脚本。正确的常规做法是根据内容类型选择对应处理方式，兼顾格式展示与安全性。

解决内容无法分段/解析HTML的方法

你的核心问题是html_escape函数转义了所有HTML特殊字符（包括<br>、<p>这类格式标签），导致浏览器将其解析为纯文本而非HTML元素。针对两种常见场景，解决方案如下：

场景1：数据库存储纯文本（仅含换行，无HTML标签）

这种情况需要将纯文本的换行转换为HTML可识别的格式，同时保留字符转义的安全性：

方法1：用nl2br()将换行转成<br>标签
修改输出代码：
```
<div>
    <?= nl2br(html_escape($article['content'])) ?>
</div>
```

方法2：按换行分割为独立段落（更规范的排版）

<div>
    <?php
    $escapedContent = html_escape($article['content']);
    // 按换行分割并过滤空行
    $paragraphs = array_filter(explode("\n", $escapedContent));
    foreach ($paragraphs as $para) {
        echo "<p>{$para}</p>";
    }
    ?>
</div>

场景2：数据库存储HTML内容（如富文本编辑器输入的带格式内容）

此时不能直接用html_escape转义标签，但必须先过滤恶意HTML：

使用HTMLPurifier库过滤危险标签（如<script>），仅保留安全的格式标签：

<?php
// 先引入HTMLPurifier库（需提前安装）
require_once 'HTMLPurifier.auto.php';

$config = HTMLPurifier_Config::createDefault();
$purifier = new HTMLPurifier($config);
// 过滤数据库中的HTML内容
$safeHtml = $purifier->purify($article['content']);
?>

<div>
    <?= $safeHtml ?>
</div>

注：HTMLPurifier可自定义允许保留的标签和属性，确保输出内容安全且符合排版需求。