在 PHP 中显示 HTML 代码，本质上是**防止 HTML 被浏览器解析执行，而是以“文本形式”输出**。常见做法包括使用 `htmlspecialchars()`、`htmlentities()`、`echo` 配合转义字符、设置正确的响应头以及通过模板机制控制输出场景。不同方法适用于不同业务场景，如代码展示、调试输出、富文本存储或安全防护。合理使用转义函数不仅能实现 HTML 原样显示，还能有效避免 XSS 风险，是 PHP 开发中必须掌握的核心技能。

## 一、理解问题本质：为什么 HTML 会被解析

在 Web 应用中，PHP 作为服务器端脚本语言，其主要职责是生成 HTML 内容并输出给浏览器。当浏览器接收到包含 `<div>`、`<p>` 或 `<script>` 等标签的字符串时，会按照 HTML 规范进行解析和渲染。这意味着如果我们在 PHP 中直接使用 `echo "<h1>标题</h1>";`，浏览器会渲染成一个标题，而不是显示这段 HTML 代码本身。

因此，在讨论“如何在 PHP 中显示 HTML 代码”时，核心问题不是如何输出字符串，而是如何**阻止浏览器对 HTML 标签进行解释执行**。浏览器遵循 W3C 发布的 HTML 标准进行解析（来源：W3C HTML Specification，2023），只要输出内容符合标签格式，就会被自动渲染。

理解这一机制后，我们就能明确解决方案的方向：将 `<`、`>`、`&` 等特殊字符转换为 HTML 实体，使其变为普通文本。PHP 提供了多种内置函数来完成这一任务，其中最常用的就是 `htmlspecialchars()`。

## 二、使用 htmlspecialchars() 显示 HTML 代码

在 PHP 中显示 HTML 代码最常见的方法是使用 `htmlspecialchars()` 函数。该函数会将特殊字符转换为 HTML 实体，例如 `<` 转为 `&lt;`，`>` 转为 `&gt;`，从而防止浏览器解析标签。

示例代码如下：

```php
$html = "<h1>Hello World</h1>";
echo htmlspecialchars($html);
```

浏览器最终会显示：

```
<h1>Hello World</h1>
```

根据 PHP 官方文档（PHP Manual，2024），`htmlspecialchars()` 默认转换以下字符：`&`、`"`、`'`、`<`、`>`。在实际开发中，建议使用完整参数形式：

```php
echo htmlspecialchars($html, ENT_QUOTES, 'UTF-8');
```

这种写法可以确保单引号与双引号都被转义，同时指定字符编码为 UTF-8，避免乱码问题。**对于大多数展示 HTML 代码的场景，htmlspecialchars() 是首选方法**，因为它性能稳定、语义明确、安全性高。

## 三、htmlentities() 与 htmlspecialchars() 的区别

很多开发者在学习 PHP 输出 HTML 代码时，会混淆 `htmlentities()` 与 `htmlspecialchars()`。两者都能实现 HTML 转义，但转换范围不同。

`htmlentities()` 会将所有可转换的字符转换为 HTML 实体，而 `htmlspecialchars()` 仅转换关键特殊字符。下面是两者的对比：

| 对比项 | htmlspecialchars() | htmlentities() |
|--------|--------------------|----------------|
| 转换字符范围 | 仅关键特殊字符 | 所有可转换字符 |
| 性能 | 较高 | 略低 |
| 使用场景 | 显示HTML代码、XSS防护 | 需要完整实体编码 |
| 推荐程度 | 常规开发推荐 | 特殊场景使用 |

在大多数 Web 应用中，显示 HTML 代码并不需要转换所有字符，因此 `htmlspecialchars()` 更加高效。**除非需要严格的字符实体编码，否则不必使用 htmlentities()**。

合理选择转义函数不仅影响性能，也关系到代码可维护性。理解这两者区别，是掌握 PHP 显示 HTML 技术的重要一步。

## 四、使用 nl2br() 与代码格式优化

在实际项目中，显示 HTML 代码往往还需要保留原有格式，比如换行和缩进。单纯使用 `htmlspecialchars()` 会保留换行符，但浏览器默认不会显示换行。

这时可以结合 `nl2br()` 函数：

```php
echo nl2br(htmlspecialchars($html));
```

`nl2br()` 会将换行符转换为 `<br>` 标签，从而在浏览器中保留格式。

此外，如果希望展示代码块效果，可以使用 `<pre>` 标签包裹：

```php
echo "<pre>" . htmlspecialchars($html) . "</pre>";
```

`<pre>` 标签会保留空格与换行，适合展示 HTML 源代码。**在开发文档系统、后台管理平台或技术博客中，这种组合方式最为常见**。

合理使用 `<pre>`、`nl2br()` 和转义函数，可以构建一个基础的 HTML 代码展示模块，而无需引入复杂组件。

## 五、防止 XSS：安全角度的 HTML 显示

在 PHP 中显示 HTML 代码不仅是展示问题，更是安全问题。如果用户输入的内容未经转义直接输出，可能导致跨站脚本攻击（XSS）。

根据 OWASP 发布的《OWASP Top 10 Web Application Security Risks》（2021），XSS 长期位列高风险漏洞之一。攻击者可以通过插入恶意 `<script>` 标签窃取用户信息。

例如：

```php
echo $_GET['content'];
```

如果用户输入：

```html
<script>alert('hack');</script>
```

浏览器就会执行该脚本。因此，正确做法是：

```php
echo htmlspecialchars($_GET['content'], ENT_QUOTES, 'UTF-8');
```

**在任何输出用户输入内容的场景下，都必须进行 HTML 转义处理**。这不仅适用于显示 HTML 代码，也适用于表单回显、评论系统、消息系统等。

安全输出是现代 PHP 开发的基本规范，而不是可选项。

## 六、在模板引擎中显示 HTML 代码

在实际项目中，PHP 往往结合模板引擎使用。模板系统通常默认对变量进行自动转义。

例如在某些模板机制中：

```php
<?= htmlspecialchars($content) ?>
```

而如果使用原样输出语法，则可能会绕过转义机制。因此，开发者在模板层显示 HTML 代码时，必须明确变量是否已经被转义。

在团队协作项目中，建议制定统一的输出规范，例如：**所有视图层输出默认转义，特殊情况才允许原样输出**。这样可以大幅降低安全风险。

在项目管理过程中，明确前后端职责边界同样重要。例如使用研发项目管理系统 [PingCode](https://PingCode.com?utm_source=insights&utm_medium=%E5%93%81%E7%89%8C%E8%AF%8D) 时，可以在需求说明中明确“用户输入必须进行 HTML 转义输出”的技术规范，从流程层面保障代码安全性。

## 七、数据库存储与 HTML 显示策略

在实际业务中，HTML 内容通常存储在数据库中。此时就涉及一个关键问题：是“入库前转义”，还是“输出时转义”。

行业通用做法是：**存储原始数据，输出时再进行转义**。这样可以保证数据的完整性与可扩展性。

例如：

```php
$content = $row['content'];
echo htmlspecialchars($content, ENT_QUOTES, 'UTF-8');
```

如果在入库时就进行转义，那么未来若需要在某些场景下渲染 HTML，就会非常困难。

因此，在设计数据结构时，应当遵循“数据层保持原始，展示层负责转义”的原则。这种分层策略符合现代 Web 架构思想，也有利于系统扩展。

## 八、常见错误与排查方法

在 PHP 显示 HTML 代码的过程中，常见问题包括乱码、双重转义和未转义输出。

乱码通常由字符编码不一致引起。应确保页面头部设置：

```php
header('Content-Type: text/html; charset=UTF-8');
```

双重转义问题则发生在已经使用 `htmlspecialchars()` 处理过的数据再次转义，导致显示为 `&amp;lt;`。排查时应检查数据来源是否已经处理过。

未转义输出问题最为严重，往往导致 XSS 风险。开发者应通过代码审查或安全扫描工具进行检查。

建立统一的编码规范，并在代码评审中重点关注输出函数，是避免这些问题的有效方式。

## 九、总结与未来趋势

在 PHP 中显示 HTML 代码，核心在于正确使用转义函数防止浏览器解析标签。`htmlspecialchars()` 是最常用且推荐的方法，结合 `<pre>`、`nl2br()` 可以实现更好的展示效果。从安全角度看，输出转义是防止 XSS 攻击的关键措施。

随着 Web 安全意识提升，现代开发框架逐渐默认启用自动转义机制，这减少了人为错误的概率。未来 PHP 开发趋势将更加注重输出安全与分层设计，同时结合自动化安全检测工具提高代码质量。

无论是简单的代码展示功能，还是复杂的内容管理系统，理解 HTML 转义机制都是 PHP 开发者的基础能力。掌握这一技术，不仅能解决显示问题，更能提升整体系统安全性与稳定性。

参考与资料来源  
1. PHP Manual. htmlspecialchars — Convert special characters to HTML entities, 2024. https://www.php.net/manual/  
2. OWASP Foundation. OWASP Top 10 Web Application Security Risks, 2021. https://owasp.org/www-project-top-ten/  
3. W3C. HTML Specification, 2023. https://www.w3.org/TR/html/

可以使用PHP内置的htmlspecialchars函数，将HTML代码中的特殊字符转换成HTML实体，这样代码会以文本形式显示，防止浏览器解析执行，保证安全。例如：echo htmlspecialchars($htmlCode);

使用htmlspecialchars函数转义HTML代码

我想在网页上显示用户输入的HTML代码，但又担心安全问题。有什么方法可以安全地在PHP中输出HTML代码吗？

怎样在PHP中安全地输出HTML代码？

可以将HTML代码直接写在PHP文件的PHP标签之外，浏览器会按HTML解析显示；或者使用echo语句输出HTML字符串时，确保字符串是正确格式的HTML，这样浏览器也能渲染HTML内容。

直接嵌入HTML代码或使用echo输出HTML

在PHP文件中嵌入HTML代码时，如何让这些HTML代码被浏览器正确解析显示？

如何让PHP文件中的HTML代码正常渲染？

使用htmlentities或htmlspecialchars函数将HTML标签中的尖括号等特殊字符转换为实体字符，浏览器会将其作为纯文本显示而非解析执行，确保代码片段安全。

转换特殊字符防止代码执行

在显示HTML代码片段时，我不想让浏览器解析这些代码内容，应该如何处理？

PHP中显示HTML代码时如何避免代码被执行？

PingCodeDocs

在 PHP 中显示 HTML 代码的关键在于对特殊字符进行转义，使浏览器不再解析标签而是以文本形式呈现。常用方法是使用 htmlspecialchars() 并指定 UTF-8 编码，必要时结合 <pre> 或 nl2br() 保留格式。从安全角度看，输出时转义还能有效防止 XSS 攻击，应遵循“存储原始数据、展示层转义”的原则，建立统一的编码与输出规范。合理掌握这些方法，既能解决显示问题，也能提升系统安全性与可维护性。

如何在php中显示html代码