使用strip_tags函数可去除HTML和PHP标签，选择性保留指定标签；复杂场景可用preg_replace结合正则过滤，但需防误删；结构复杂内容推荐DOMDocument解析提取textContent；仅移除标签不足以防御XSS，须配合htmlspecialchars输出编码、避免JS直接插入及设置CSP策略。
如果您在处理用户输入或从数据库中读取内容时，发现字符串中包含HTML或PHP代码，这些标记可能会影响页面显示甚至带来安全风险。以下是几种去除字符串中HTML和PHP标签的方法及其注意事项：
一、使用strip_tags函数
PHP内置的strip_tags函数专门用于移除字符串中的HTML和PHP标签，保留纯文本内容。该函数支持选择性保留某些HTML标签，适用于需要保留基本格式的场景。
1、调用strip_tags函数，传入目标字符串作为第一个参数：strip_tags($string)。
2、若需保留特定标签（如
、
），可在第二个参数中以字符串形式列出：strip_tags($string, ' ')
立即学习“PHP免费学习笔记（深入）”；
3、注意该函数不会验证标签是否闭合，也不会解析嵌套结构，仅做简单匹配删除。
二、结合正则表达式过滤
当strip_tags无法满足复杂过滤需求时，可使用preg_replace配合正则表达式进行更精确控制。此方法适合需要自定义过滤规则的情况。
1、使用模式/// 移除所有PHP标签（如php ... ?>）。
2、使用模式//]*>/ 匹配并删除所有HTML标签。
3、执行替换操作：$clean = preg_replace('/]*>/','',$input);。
4、注意正则表达式可能误删含尖括号的合法文本，需谨慎测试边界情况。
三、利用HTML解析器进行清洗
对于结构复杂的HTML内容，建议使用DOMDocument等HTML解析工具进行解析后提取文本内容，避免因标签嵌套导致的清理不彻底问题。
1、创建DOMDocument实例并加载字符串：$dom = new DOMDocument(); $dom->loadHTML($html, LIBXML_HTML_NOIMPLIED | LIBXML_HTML_NODEFDTD);。
2、遍历节点或直接调用textContent属性获取纯文本：$text = $dom->textContent;。
3、此方法能正确处理标签嵌套与编码问题，但性能开销较大，不适合高频调用场景。
四、安全风险与防范措施
直接去除标签并不等于完全防御XSS攻击，某些构造特殊的脚本仍可能绕过基础过滤。必须结合上下文进行输出编码。
1、始终在输出到HTML页面时使用htmlspecialchars()对特殊字符转义。
2、避免在JavaScript上下文中直接插入未经验证的数据，即使已调用strip_tags。
3、设置Content-Security-Policy响应头以限制资源加载，降低恶意脚本执行风险。
