您现在的位置是：首页 > cms教程 > 帝国CMS教程帝国CMS教程

帝国cms在栏目显示HTML标签的实现方法（原创）

原创2025-09-14帝国CMS教程已有人查阅

导读在前面两篇文章我们已经说到了>>帝国cms有副标题调用副标题，没副标题调用标题写法再另一个场景中，比如代码号自学编程栏目。我们需要在左侧列表中调用HTML标签。但是调用的标签不显示

在前面两篇文章我们已经说到了>>帝国cms有副标题调用副标题，没副标题调用标题写法代码号使用的输出标签为：<?=DoTitleFont($bqr['titlefont'], (!empty($bqr['ftitle']) ? $bqr['ftitle'] : $bqr['title'])) ?>再另一个场景中，比如代码号自学编程栏目。我们需要在左侧列表中调用HTML标签。但是调用的标签不显示，我们希望安全地显示标题与副标题，同时保留DoTitleFont函数所添加的样式（如颜色、加粗等），并防止HTML代码被意外过滤或引发XSS安全风险。下面的方案和代码示例可以帮助你实现这个目标。
在实现时，一个关键的思路是：先选择要显示的标题文本（主标题或副标题），然后使用DoTitleFont处理样式，最后对整个结果进行HTML转义以确保安全。这样可以同时保留样式和安全性。
帝国CMS标题安全输出方案

安全输出代码

在帝国CMS模板中，可以使用以下代码来安全输出标题：

<?= htmlspecialchars(DoTitleFont($navinfor['titlefont'], (!empty($navinfor['ftitle']) ? $navinfor['ftitle'] : $navinfor['title'])), ENT_QUOTES, 'UTF-8') ?>

代码解释

!empty($navinfor['ftitle'])检查副标题是否存在且非空，确保优先显示副标题
$navinfor['ftitle'] : $navinfor['title']三元运算符，副标题为空则显示主标题内容回退机制
DoTitleFont($navinfor['titlefont'], ...)应用帝国CMS的标题样式（颜色、加粗等）保留样式渲染
htmlspecialchars(..., ENT_QUOTES, 'UTF-8')将特殊字符转换为HTML实体，防止XSS攻击安全核心

使用说明

核心原理：
此代码会优先显示副标题（如果存在且非空），否则显示主标题。
DoTitleFont 函数会处理 titlefont 字段中存储的样式信息（如字体颜色、加粗等），并将其应用到标题文本上。
htmlspecialchars 函数会将 DoTitleFont 函数输出的结果中的HTML特殊字符（如 <, >, ", ', &）转换为对应的HTML实体（如 <, >, ", ', &）。这使得浏览器将这些字符视为普通文本显示，而非HTML代码，从而有效防止XSS攻击。参数 ENT_QUOTES 会同时转义单引号和双引号，UTF-8 指定了字符编码，这对于安全性非常重要。
注意事项：
字段确认：确保 $navinfor 数组中包含 'titlefont'、'ftitle'（副标题）和 'title'（主标题）这些字段。副标题字段名是否为 ftitle 需根据你的实际模型确认。
样式与安全的顺序：代码采用 “先应用样式，后转义” 的顺序。这意味着 DoTitleFont 函数生成的HTML标签（如 ...）会被 htmlspecialchars 转义成纯文本（显示为 ...），从而确保这些样式标签本身不会被浏览器解析执行，而是作为纯文本显示出来。如果你希望样式生效（即标题确实显示为红色），同时又安全地显示标题文本，那么你需要另一种思路（详见下文进阶用法）。
缓存更新：修改模板后，你可能需要刷新帝国CMS后台缓存才能看到变化。

进阶用法

需要样式生效且安全显示标题文本
如果你的需求是：保留 DoTitleFont 生成的样式标签并让其生效（如标题显示为红色），同时只对标题文本内容（如用户输入的标题）进行转义，那么目前的 DoTitleFont 函数可能无法直接满足。你需要分步处理：
手动解析 titlefont：提取样式信息（如颜色、加粗）。
安全转义标题文本：对标题文本（$navinfor['title'] 或 $navinfor['ftitle']）使用 htmlspecialchars。
手动构建样式HTML：将转义后的标题文本用解析得到的样式包裹。
这个过程较为复杂，需要深入了解 titlefont 字段的存储格式。通常，titlefont 可能直接包含HTML标签（如 ）或特定的样式标识符。
在列表页中调用副表字段
如果你的标题或副标题存储在副表中，在列表页调用时需要额外的SQL查询。
剥离所有HTML标签
如果你希望完全移除标题中可能存在的所有HTML标签（而不仅仅是转义），可以使用 strip_tags 函数：
php

<?= strip_tags(DoTitleFont($navinfor['titlefont'], (!empty($navinfor['ftitle']) ? $navinfor['ftitle'] : $navinfor['title']))) ?>

注意：这将移除所有HTML标签，包括 DoTitleFont 函数生成的样式标签，标题将失去所有样式。
你提供的代码 <?=DoTitleFont($navinfor[titlefont],$navinfor[title])?> 直接输出，可能存在XSS安全风险，如果标题中包含特殊字符，也会破坏页面结构。
使用 htmlspecialchars 函数是防御XSS攻击的有效手段。
根据你是否希望保留 DoTitleFont 生成的样式效果，选择上述合适的方案。
优先显示副标题是一种常见的内容展示策略。
始终确保你的模板代码对不可信的数据进行输出转义。
希望这些信息能帮助你安全地实现帝国CMS标题的显示！
（原创文章请勿转载）