在Web开发中，把服务器端PHP数组里的数据呈现到浏览器页面是最基础也最容易出问题的操作之一。不少新手习惯用字符串拼接把<tr><td>硬凑出来，结果既难读又埋下安全坑。真正稳妥的做法是理解遍历机制与HTML上下文转义的配合。
一、PHP中遍历数组的几种方式与适用场景
PHP提供了多种数组遍历手段，最常用的是for循环、foreach循环以及while配合each函数（注：each在PHP 7.2后已废弃）。for循环适合索引数组且下标连续的情况，它通过下标访问元素，性能在纯数字索引时略好，但遇到关联数组就无能为力。foreach则是专为遍历设计的语法糖，无论索引还是关联数组都能直接拿到键值，代码可读性最高，也是官方推荐写法。
下面用一段代码展示两种写法的差异。假设我们有一个用户列表，包含id与name：
<?php
$users = [
['id' => 1, 'name' => '张三'],
['id' => 2, 'name' => '李四']
];
// for写法，仅适合数字下标
for ($i = 0; $i < count($users); $i++) {
echo $users[$i]['id'] . ':' . $users[$i]['name'] . "n";
}
// foreach写法，清晰且通用
foreach ($users as $u) {
echo $u['id'] . ':' . $u['name'] . "n";
}
?>
从维护角度看，foreach不需要关心数组长度与下标连续性，如果后期数组结构从索引变为关联（例如$users['group1']），for会直接出错而foreach仍正常工作。因此在HTML输出场景中，优先使用foreach能减少很多隐性bug。
二、将数组数据安全地输出为HTML结构
直接把数组值echo进HTML字符串最大的风险是XSS攻击。如果用户name里含有<script>片段，未转义就拼接会执行恶意脚本。PHP的htmlspecialchars函数能把特殊字符转成实体，比如<变<，从而阻断注入。输出时还应指定编码与引号处理方式。
我们构建一个生成表格的函数，把用户数组变成标准HTML表格。注意所有动态值都经过htmlspecialchars处理：
<?php
function array_to_table($data) {
if (empty($data)) {
return '<p>暂无数据</p>';
}
$html = '<table border="1"><tr><th>ID</th><th>姓名</th></tr>';
foreach ($data as $row) {
$id = htmlspecialchars($row['id'], ENT_QUOTES, 'UTF-8');
$name = htmlspecialchars($row['name'], ENT_QUOTES, 'UTF-8');
$html .= "<tr><td>{$id}</td><td>{$name}</td></tr>";
}
$html .= '</table>';
return $html;
}
echo array_to_table($users);
?>
这种封装方式的优势在于逻辑集中、转义统一。若项目使用了模板引擎如Twig，则可在模板里用{{ name|escape }}自动转义，但底层思想完全一致。不要为了省事在HTML里写<?php echo $u['name']; ?>而不包函数，一旦数据源不可信就会出问题。
另一个实践是结构与数据分离：PHP只负责准备数组，HTML模板用foreach语法（如Blade的@foreach）循环输出。这样前端调整样式时不必动PHP逻辑，也更容易做代码审查。
三、进阶技巧：JSON输出与前端渲染的对比
除了在服务器端直接生成HTML，也可以把PHP数组json_encode后发给前端，由JavaScript渲染。这种方式适合单页应用或需要频繁局部刷新的场景。服务器端代码极简：
<?php
header('Content-Type: application/json; charset=utf-8');
echo json_encode($users, JSON_UNESCAPED_UNICODE);
?>
前端拿到后可用map生成列表。优点是前后端彻底解耦，PHP不再管标签；缺点是放弃了HTML首屏直出，对SEO不友好，且要处理前端转义（如textContent而非innerHTML）。对于内容型站点，服务端直接输出HTML仍是最稳的方案。
如果坚持服务端输出又想写法更干净，可以用输出缓冲（ob_start）配合HTML块：先写纯HTML的foreach结构，再把ob_get_clean结果返回。这样既有模板可读性，又保持函数封装。总之，依据项目规模与架构选方案，但无论哪种都别忘转义与遍历清晰这两条底线。