PHP PDO结合fetch()处理JSON返回的原理与安全问题咨询

问题a解答 #

那行单独写的$board_row['board_name'];是没有任何实际作用的废代码——既没有赋值、没有输出，也没有参与任何运算，写不写、删不删都完全不影响最终结果。

你前面查询数据库用的是SELECT *，PDO的fetch()方法会把匹配到的整行数据全部存到$board_row数组里，只要你的boards表本身有board_id（一般是自增主键）、board_name这两个字段，$board_row里就会同时包含这两个键。后续json_encode()是把整个$board_row数组序列化成JSON字符串输出，JS端拿到解析后的对象自然能同时读到board_name和board_id两个属性。

问题b解答 #

你的理解完全正确。PHP中所有未被输出缓存拦截的echo输出，都会直接写入HTTP响应体。
你之前用echo往HTML里拼内容的场景，是因为PHP执行完没有提前退出，会把后续的页面模板、HTML代码一起输出到响应体，浏览器拿到后直接渲染成完整网页；现在这段代码在输出JSON前先设置了Content-type: application/json响应头，输出完JSON立刻执行exit终止后续所有输出，所以这次请求返回的响应体里只有纯JSON内容，fetch()接收到响应后调用response.json()，就是把响应体里的JSON字符串解析成可操作的JavaScript对象供后续代码使用。

问题c解答 #

确实存在安全风险，但风险点不在PHP输出JSON的环节，而在前端渲染逻辑上。
首先说JSON输出环节：json_encode()本身会按照JSON规范对特殊字符做转义，输出合法JSON数据这一步本身不存在注入问题，不需要在这里加htmlspecialchars()——htmlspecialchars()是针对HTML上下文的转义函数，要是在输出JSON的时候提前用它转义，反而会让数据里混入多余的转义字符，比如用户输入的<会被转成<，后续如果把这份JSON数据用在非HTML场景（比如赋值给表单属性、存本地缓存、调用其他接口），反而会出现内容显示异常。
真正的XSS风险出在你的JS代码里：你拿到接口返回的board_name后直接拼接到HTML字符串里，再通过insertAdjacentHTML插入页面，如果用户提交的板块名称里包含<script>标签、onclick/onerror这类事件属性，插入页面时就会直接执行恶意代码。
正确的处理方式是在数据插入HTML的环节做防护：要么弃用拼HTML字符串的写法，用document.createElement()创建DOM节点，把newBoardName赋值给节点的textContent、把boardId赋值给隐藏input的value属性，这种方式浏览器会自动处理内容转义，不会执行插入的恶意脚本；要么在拼接HTML前，专门对要插入到HTML里的字符串做转义处理，再塞进模板。
额外提一句：你现在PHP的catch块直接echo $e->getMessage()输出数据库报错，线上环境这么写会泄露数据库表结构、连接信息等敏感内容，建议线上环境把错误写到服务端日志，给前端返回通用的错误提示即可。

内容的提问来源于stack exchange，提问作者paulo77