Trumbowyg 生成的 HTML 内容（如 text）在 PHP 中直接 echo 会显示为源码而非渲染效果；正确做法是使用 html_entity_decode() 解码 HTML 实体，再结合适当的安全过滤策略输出。
trumbowyg 生成的 html 内容（如 `text`）在 php 中直接 `echo` 会显示为源码而非渲染效果；正确做法是使用 `html_entity_decode()` 解码 html 实体，再结合适当的安全过滤策略输出。
Trumbowyg 是一款轻量、易集成的 jQuery WYSIWYG 编辑器，它将用户输入实时转换为标准 HTML 标签（例如加粗 → ...，列表 →
- ...
若你在保存时未做额外转义（推荐做法），数据库中存储的就是原生 HTML（如
Hello link
）。此时直接 echo $content 理论上应正常渲染——但实践中常因以下原因失效：- 数据在入库前被 htmlspecialchars() 或类似函数双重编码（如
- 框架或 ORM 自动转义输出（如某些模板引擎默认启用 HTML 转义）；
- 浏览器因响应头缺失 Content-Type: text/html 而以纯文本解析。
✅ 核心解决方案：html_entity_decode()
该函数将 HTML 实体（如 <, >, "）还原为对应字符（, "），使浏览器能正确解析 HTML 结构：
立即学习“PHP免费学习笔记（深入）”；
<!-- 安全输出示例（仅解码，不执行过滤） -->
<div class="post-content">
<?= html_entity_decode($user_description, ENT_QUOTES, 'UTF-8') ?>
</div>⚠️ 重要安全提醒：绝不直接输出未经校验的富文本！
html_entity_decode() 本身不提供 XSS 防护。若用户可提交 <script>alert(1)</script> 或 ，解码后将直接执行恶意代码。务必配合 HTML 净化处理：
- ✅ 推荐：使用 HTML Purifier（最成熟、可配置白名单）
- ✅ 轻量替代：strip_tags($content, '
') + 手动校验 href/src 属性
- ✅ 现代方案：前端用 DOMPurify（JavaScript）二次净化（服务端净化不可省略）
? 最佳实践流程：
- 入库前：接收 POST 数据 → 使用 htmlspecialchars($input, ENT_QUOTES, 'UTF-8') 存储（防 SQL 注入非必需，但可避免模板误解析）；
- 读取后：从 DB 获取字符串 → html_entity_decode() 还原 → 交由 HTML Purifier 过滤 → 输出；
- 输出时：确保响应头为 text/html，且 存在。
下面是一个生产就绪的输出片段示例（含基础过滤）：
<?php
// 假设已引入 HTMLPurifier 自动加载器
$purifier = new HTMLPurifier([
'HTML.Allowed' => 'p,b,i,u,br,ul,ol,li,a[href|title],img[src|alt|width|height]'
]);
$safeHtml = $purifier->purify(html_entity_decode($user_description, ENT_QUOTES, 'UTF-8'));
?>
<div class="forum-post">
<?= $safeHtml ?>
</div>总结：html_entity_decode() 是解决“显示源码而非渲染效果”的关键一步，但它只是 HTML 输出链路中的解码环节。真正的健壮性依赖于入库前的合理转义、读取后的严格净化和输出环境的正确声明。忽略任一环节，都可能引发安全风险或显示异常。
