将 HTML 字符串安全嵌入 JSON 响应的正确实践-html教程-夏夕资源网-网站模板_免费源码

本文详解如何将动态生成的 html 字符串（如患者信息表格）正确序列化为合法、可解析的 json 数据，避免因手动拼接、转义缺失或 sql 注入导致的格式错误与安全风险。

在 Web 开发中，常需将 HTML 内容（如报表、卡片、详情页片段）作为字符串嵌入 JSON API 响应中供前端渲染。但若处理不当——例如使用字符串拼接构造 JSON、忽略 HTML 中的特殊字符（, /, \n, \t 等）或未防御 SQL 注入——会导致生成的 JSON 无效，无法被 JSON.parse() 解析，甚至引发 XSS 或数据库攻击。

✅ 正确做法：全程依赖 json_encode()，禁用字符串拼接

PHP 的 json_encode() 会自动对值中的双引号、反斜杠、换行符、Unicode 字符等进行标准 JSON 转义。HTML 字符串应作为普通 PHP 字符串值传入数组，再由 json_encode() 统一处理，而非手动包裹引号或拼接 JSON 片段。

以下为修复后的完整示例：

function patient_file() {
    $html = '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= '';
    $html .= 'Fullname salum said juma
Age / sex 12 male
Address kariakoo dsm
File number mn234
kitu package scheme name
kitu number 1234567890
kiyutu 1919181716151
hihi in 12-03-2023
hihi out 12-03-2023';
    return $html;
}

// 安全获取参数并查询
$folio = $_POST['folio'] ?? '';

// ✅ 使用预处理语句防止 SQL 注入（假设 $conn 已初始化）
$stmt = mysqli_prepare($conn, "SELECT * FROM m_folio WHERE m_No = ?");
mysqli_stmt_bind_param($stmt, "s", $folio); // 注意：若 m_No 是字符串类型，用 "s"；若为整数，用 "i"
mysqli_stmt_execute($stmt);
$result = mysqli_stmt_get_result($stmt);
$row = mysqli_fetch_assoc($result);

// 将 HTML 字符串赋值给数组字段
$row['cardata'] = patient_file();

// ✅ 正确构建 JSON：用关联数组定义结构，交由 json_encode 全权处理
$payload = json_encode([
    'entities' => [$row]
], JSON_UNESCAPED_UNICODE | JSON_UNESCAPED_SLASHES);

// 输出前设置 Content-Type（推荐）
header('Content-Type: application/json; charset=utf-8');
echo $payload;

⚠️ 关键注意事项

禁止手动拼接 JSON：像 ‘{“entities”: ‘ . $jasondata . ‘}’ 这类写法极易破坏 JSON 结构。json_encode() 是唯一可靠方式。

HTML 中的 &、无需提前 HTML 实体编码：json_encode() 处理的是字符串值本身，不是 HTML 上下文，因此保留原始

即可；前端接收后应通过 element.innerHTML = data.entities[0].cardata 安全渲染（确保数据可信）。

SQL 参数必须预处理：$folio 直接拼入 SQL 是严重漏洞。务必使用 mysqli_prepare + bind_param。

添加 JSON 编码选项提升可读性与兼容性：

JSON_UNESCAPED_UNICODE：避免中文被编码为 \uXXXX；
JSON_UNESCAPED_SLASHES：保留 / 而非转义为 \/（对 HTML 内容更友好）。

空值/异常处理：生产环境应检查 $folio 是否存在、查询是否返回结果，并对 json_encode() 返回 false 时做错误日志。

✅ 验证输出效果

修复后，$payload 将输出标准 JSON，例如：

夏夕资源网专注于CMS网站模板,主流语言整站网站源码下载,网站建设相关教程分享,好用的软件素材整合下载,提供一站式便捷自助服务。
1. 本站所有资源来源于用户上传和网络，如有侵权请邮件联系站长！
2. 分享目的仅供大家学习和交流，您必须在下载后24小时内删除！
3. 不得使用于非法商业用途，不得违反国家法律。否则后果自负！
4. 本站提供的源码、模板、插件等等其他资源，都不包含技术服务请大家谅解！
5. 如有链接无法下载、失效或广告，请联系管理员处理！
6. 本站资源售价只是赞助，收取费用仅维持本站的日常运营所需！
7. 如遇到加密压缩包，默认解压密码为"zy.lucklyus.top",如遇到无法解压的请联系管理员！
夏夕资源网-网站模板_免费源码_资源素材 » 将 HTML 字符串安全嵌入 JSON 响应的正确实践-html教程

Fullname	salum said juma
Age / sex	12 male
Address	kariakoo dsm
File number	mn234
kitu package	scheme name
kitu number	1234567890
kiyutu	1919181716151
hihi in	12-03-2023
hihi out	12-03-2023

将 HTML 字符串安全嵌入 JSON 响应的正确实践-html教程

✅ 正确做法：全程依赖 json_encode()，禁用字符串拼接

⚠️ 关键注意事项

✅ 验证输出效果

普通

相关推荐

本站指数