如何在 AJAX 请求中安全传递 PHP 变量值

本文详解如何将 php 变量（如字符串）直接嵌入 javascript，供 ajax 请求使用，并强调转义处理与安全性注意事项。

本文详解如何将 php 变量（如字符串）直接嵌入 javascript，供 ajax 请求使用，并强调转义处理与安全性注意事项。

在混合开发中，常需将服务端 PHP 变量的值传递给前端 AJAX 请求。最直接的方式是利用 PHP 的输出能力，在 JavaScript 代码中动态注入变量值。例如：

<?php
$my_php_var = "foo";
?>
<script>
$(document).on('click', '#btn_add', function(){
    $.ajax({
        url: "directory/script.php",
        method: "POST",
        data: { my_php_var: <?= json_encode($my_php_var, JSON_UNESCAPED_UNICODE) ?> },
        dataType: "text",
        success: function(data) {
            alert(data);
        }
    });
});
</script>

⚠️ 注意：绝不能直接使用 <?=$my_php_var?>（如 data: {my_php_var: <?=$my_php_var?>}），因为这会将原始字符串未经转义地插入 JS 上下文，极易引发语法错误或 XSS 漏洞（例如当 `$my_php_var = “bar’; alert(1); //” 时）。

✅ 正确做法是使用 json_encode() —— 它能自动处理引号、换行、Unicode 等特殊字符，并确保生成合法、安全的 JavaScript 字面量。配合 JSON_UNESCAPED_UNICODE 参数可保留中文等 UTF-8 字符的可读性。

此外，建议：

立即学习“PHP免费学习笔记（深入）”；

• 将 PHP 变量定义与 JS 逻辑分离，避免混排混乱；
• 若变量来自用户输入或数据库，请务必先过滤/验证，再编码；
• 在现代项目中，更推荐通过 <script> 标签预定义全局配置对象，或使用 API 接口统一获取数据，而非硬编码传递。

总之，json_encode() 是 PHP → JavaScript 安全传值的黄金标准，既简洁又可靠。