如何安全地将 HTML 字符串嵌入 JSON 响应中并避免格式错误-html教程

本文讲解如何正确将动态生成的 html 内容作为字符串字段写入 json 响应，避免手动拼接导致的转义错误、json 格式损坏及 sql 注入风险。核心是统一使用 json_encode() 处理整个结构，并采用预处理语句保障数据库操作安全。

在 Web 开发中，常需将 HTML 片段（如患者信息卡片）作为字符串嵌入 JSON API 响应中供前端渲染。但若直接用字符串拼接构造 JSON（如 ‘{“entities”: ‘ . $jasondata . ‘}’），极易因 HTML 中的引号、斜杠、换行符等未被正确转义而导致 JSON 无效——正如你遇到的 jsonformatter 报错问题：原始 HTML 中的双引号、/、\r\n 等字符未经 JSON 编码，破坏了整体结构。

✅ 正确做法是：让 json_encode() 全权负责整个数据结构的序列化，它会自动对字符串值（包括 HTML）进行标准 JSON 转义（如 ” → \”，/ → \/，换行符转为 \n），确保输出严格符合 RFC 8259 规范。

以下是优化后的完整实现：

function patient_file() {
    $html = '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '
Fullname
salum said juma
Age / sex
12 male
Address
kariakoo dsm
File number
mn234
kitu package
scheme name
kitu number
1234567890
kiyutu
1919181716151
hihi in
12-03-2023
hihi out
12-03-2023
';
    return $html;
}

// 安全获取参数并查询
$folio = $_POST['folio'] ?? '';

// ✅ 使用预处理语句防止 SQL 注入（注意：确保 $conn 已正确初始化）
$stmt = mysqli_prepare($conn, "SELECT * FROM m_folio WHERE m_No = ?");
mysqli_stmt_bind_param($stmt, "s", $folio); // "s" 表示字符串类型；若 m_No 是整型，请用 "i"
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
$row = mysqli_fetch_assoc($result);

// 将 HTML 字符串注入数据数组
$row['cardata'] = patient_file();

// ✅ 关键：用 json_encode() 构建完整有效 JSON，无需手动拼接
$payload = json_encode([
    "entities" => [$row]
], JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);

// 设置响应头（可选，但推荐用于 API）
header('Content-Type: application/json; charset=utf-8');

echo $payload;

? 关键注意事项：