PHP在<script></script>里输出数据给JS表达式时,为了避免恶意构造破坏JS表达式,建议在JSON编码时将特殊字符(尖括号,单引号,双引号,&)转为Unicode字符后输出.

<script>
<?php
$arr = array(
    //右边的注释是经过下面的json_encode编码后的结果
    'HTML特殊字符(< > \' " &)', // "HTML\u7279\u6b8a\u5b57\u7b26(\u003C \u003E \u0027 \u0022 \u0026)"
    '<script>alert()</script>', // "\u003Cscript\u003Ealert()\u003C\/script\u003E"
    '\u003cimg src=1 onerror=alert(/xss/)\u003e', // "\\u003cimg src=1 onerror=alert(\/xss\/)\\u003e"
    '\x3Cimg src=1 onerror=alert(/xss/)\x3E', // "\\x3Cimg src=1 onerror=alert(\/xss\/)\\x3E"
);
?>
var json = <?php echo json_encode($arr, JSON_HEX_TAG|JSON_HEX_APOS|JSON_HEX_QUOT|JSON_HEX_AMP); ?>;
</script>

eval拼接一个呢？

我的做法是用json_encode(array())来做，array中的每个元素都进行urlencode

写法1 其实是我认为效率最高也是最简明的写法。这种写法就是相当于原生 js 的写法。

var jsTest = {"one":"what's wrong"};

存在的问体就是：可能因为生成的对象不符合 JS 语法，导致语法错误，后面的js不再被执行，不过毕竟用了json_encode，一般叶不会出什么问题。

第二种写法其实应该改为，其实我觉得不好：

ar jsTest = JSON.parse('<?php echo str_replace("'","\\'",json_encode($std)); ?>');