使用 PHP 原生模板（即 .php 文件直接混写 HTML 和 PHP）确实灵活高效，但缺乏现代模板引擎的语法糖和安全防护，容易踩坑。以下是关键注意事项，按风险优先级排序：
---
1. XSS 防护：你必须手动转义一切
原生 PHP 不会自动转义输出，这是最大的安全隐患。<!-- ❌ 危险：直接输出用户输入 -->
<div class="comment"><?php echo $user_input; ?></div>
<!-- ✅ 正确：始终使用 htmlspecialchars -->
<div class="comment"><?php echo htmlspecialchars($user_input, ENT_QUOTES | ENT_HTML5, 'UTF-8'); ?></div>
不同上下文的转义策略：
<!-- HTML 内容 -->
<p><?= htmlspecialchars($text, ENT_QUOTES, 'UTF-8') ?></p>
<!-- HTML 属性（需额外转义引号） -->
<input value="<?= htmlspecialchars($attr, ENT_QUOTES, 'UTF-8') ?>">
<!-- JavaScript 上下文（完全不同转义规则！） -->
<script>
// ❌ 错误：htmlspecialchars 不够
var user = "<?= htmlspecialchars($name) ?>"; // 仍可被突破
// ✅ 正确：JSON 编码 + 转义斜杠
var user = <?= json_encode($name, JSON_HEX_TAG | JSON_HEX_AMP | JSON_HEX_APOS | JSON_HEX_QUOT) ?>;
</script>
建议：封装一个辅助函数简化操作：
function e($str) {
return htmlspecialchars((string)$str, ENT_QUOTES | ENT_HTML5, 'UTF-8', true);
}
// 使用
<p><?= e($user_input) ?></p>
---
2. 严格分离：模板里禁止写业务逻辑
原生模板最大的风险是"蔓延"——因为你能写红线：
- ❌ 在模板中直接查询数据库
- ❌ 在模板中修改全局状态（
$_SESSION、$GLOBALS） - ❌ 在模板中进行复杂计算或数据转换
// controller.php
$data = [
'users' => $userRepo->getActiveUsers(), // 数据准备好
'title' => $pageService->getTitle(), // 逻辑在外部
'isAdmin' => $auth->isAdmin(), // 权限检查已做
];
extract($data); // 或使用紧凑的变量传递
include 'template.php';
// template.php
<h1><?= e($title) ?></h1>
<?php foreach ($users as $user): ?>
<div class="<?= $isAdmin ? 'admin-card' : 'user-card' ?>">
<?= e($user->name) ?>
</div>
<?php endforeach; ?>
---
3. 变量作用域污染与 extract() 的风险
extract() 虽然方便，但会污染当前符号表。// ❌ 危险：extract 可能覆盖你的变量
$isAdmin = true;
extract(['isAdmin' => false]); // 被覆盖！
// 替代方案：使用数组访问
$data['isAdmin']; // 明确且安全
建议：使用短变量名传递，或在函数作用域内加载模板：
function render($template, $vars) {
ob_start();
// 在函数内 extract，避免污染全局
extract($vars);
include $template;
return ob_get_clean();
}
---
4. 布局与组件复用：避免复制粘贴
原生模板没有extends 或 block，容易重复代码。简易 Layout 模式：
<!-- layout.php -->
<!DOCTYPE html>
<html>
<head>
<title><?= $title ?? 'Default' ?></title>
</head>
<body>
<?php include $contentView; ?>
</body>
</html>
<!-- page.php -->
<?php
$contentView = 'partials/user-list.php';
$title = 'Users';
include 'layout.php';
?>
组件化：
// 组件函数化，而非复制 HTML
function render_card($title, $content) {
include 'components/card.php'; // 使用局部变量
}
---
5. 错误处理与信息泄露
生产环境中，模板错误可能暴露服务器路径。// php.ini 或运行时设置
ini_set('display_errors', '0'); // 生产环境关闭
error_reporting(E_ALL);
// 使用自定义错误处理器捕获模板错误
未定义变量：
<!-- ❌ 可能产生 Notice -->
<p><?= $user->name ?></p>
<!-- ✅ 防御式编程 -->
<p><?= e($user->name ?? 'Guest') ?></p>
<!-- 或 -->
<p><?= isset($user) ? e($user->name) : 'Guest' ?></p>
---
6. 性能陷阱
- 避免在循环中
include：文件 I/O 开销大，尽量在外部准备数据 - 输出缓冲：合理使用
ob_start()避免过早输出导致 header 错误 - 不必要的字符串拼接：原生模板中
比字符串拼接更高效
7. 当原生模板变得难以维护时
如果以上问题让你感到繁琐，这正是现代模板引擎（如 Plates 或 Latte）解决的问题：- Plates：仍使用原生 PHP 语法，但提供安全的
escape()辅助、布局继承和模板文件夹管理，零学习成本升级路径 - Latte：如果你开始写复杂的条件逻辑，Latte 的
{if}、{foreach}语法比混编 PHP 更简洁，且自动处理 XSS