PHP嵌入HTML需注意输出控制、作用域隔离与模板边界；PHP标签须成对且不跨HTML标签断裂；控制结构括号须在同一代码块内或用冒号语法；输出前不可有空格/BOM，否则触发headers already sent错误。
PHP 代码可以直接嵌入 HTML 中执行，但混编不是简单地把 <?php ?> 往 HTML 里一塞就完事——关键在于输出控制、作用域隔离和模板逻辑边界是否清晰。
PHP 标签必须成对出现且不能跨 HTML 标签断裂
常见错误是把 <?php if ($ok) { ?> 放在 <div> 开始前，再在后面用 <code>?> 关闭，导致 PHP 语法不完整或 HTML 被意外截断。PHP 解析器不理解 HTML 结构，只认标签配对。
正确做法是：所有 PHP 控制结构（if、foreach、while）的开始和结束括号必须在同一个 PHP 代码块内，或用短标签风格统一处理：
<?php if ($user_logged_in): ?> <div class="welcome">Hello, <?php echo htmlspecialchars($name); ?></div> <?php endif; ?>
注意：?: 和 endif; 这类替代语法仅在 short_open_tag = On 且 asp_tags = Off 时可用（现代项目建议关闭 asp_tags）。
立即学习“PHP免费学习笔记（深入）”；
HTML 输出前不能有任何输出（包括空格和 BOM）
一旦 PHP 脚本中在 header() 或 session_start() 前存在不可见字符（如 UTF-8 BOM、文件末尾换行、echo 前的空格），就会触发 Cannot modify header information - headers already sent 错误。
排查要点：
- 用编辑器检查 PHP 文件是否保存为
UTF-8 without BOM - 确保
<?php是文件第一个字符，前面无空格、空行、注释 - 所有
include/require的文件也需满足上述条件 - 避免在
.php文件中写纯 HTML 开头（如先写<!DOCTYPE html>再写<?php）
变量输出必须转义，尤其来自 $_GET / $_POST / $_SESSION
直接 echo $_GET['q'] 是 XSS 高危操作。HTML 混编时最容易忽略上下文差异：
- 在 HTML 文本内容中：用
htmlspecialchars($str, ENT_QUOTES, 'UTF-8') - 在 HTML 属性值中（如
value="<?php echo $val; ?>"）：同样必须用htmlspecialchars，且指定ENT_QUOTES - 在 JavaScript 字符串中：不能只靠
htmlspecialchars，需用json_encode($str, JSON_UNESCAPED_UNICODE)并包裹单引号 - 在 URL 参数中：用
urlencode()，不是htmlspecialchars
示例安全输出：
<p><?php echo htmlspecialchars($title, ENT_QUOTES, 'UTF-8'); ?></p> <input name="email" value="<?php echo htmlspecialchars($email, ENT_QUOTES, 'UTF-8'); ?>">
逻辑与展示分离越早越好，哪怕只是简单拆成两层
一个 index.php 里塞 500 行 PHP + HTML，调试时根本分不清哪段该改逻辑、哪段该调样式。实际项目中，哪怕不用框架，也建议：
- 把数据获取、验证、计算等全部放在顶部 PHP 区块（或单独
require 'logic.php'） - 底部只保留纯 HTML + 极简变量插值（
<?php echo $var; ?>或= $var ?>） - 避免在 HTML 中写
for ($i=0; $i<count($list); $i++)—— 改用foreach ($list as $item)并提前赋值好 - 模板内禁止调用数据库、curl、文件写入等耗时/副作用操作
这种轻量分离不会增加复杂度，但会让后续加缓存、做单元测试、甚至迁移到 Twig/Volt 变得可行。
真正难的不是“怎么混”，而是“在哪断开”——多数人卡在没意识到 HTML 模板本身也需要被当作可维护的代码来对待。
