如何在 HTML textarea 中正确显示 PHP 代码（而非执行它）

<?php echo 'ok'; ?>

渲染到浏览器里，用户看到的就是代码原文：。

不过有一点需要留个心眼：如果代码里还包含单引号、双引号或者 & 符号，光转义尖括号就可能漏掉。更稳妥的做法，还是直接上第二种方案。

方案二：服务端自动编码（推荐，一劳永逸）

用 PHP 自带的 htmlentities() 函数，把整段代码一次性全部转义。像这样：

<?php echo htmlentities("<?php echo 'ok'; ?>"); ?>

这个函数会把所有可能引发 HTML 解析的字符——<、>、"、'、&——统统替换成对应的实体。而且它会自动适配当前字符编码（比如 UTF-8），兼容性和安全性比手动操作强出一大截。

为什么不推荐其他做法？

不少人可能想过走捷径，比如把文件后缀改成 .html 绕开 PHP 解析。这确实能解决问题，但也把动态能力一起扔掉了——你没法再从数据库里实时读取代码片段了。再比如直接在服务器上禁用 PHP？那是拆东墙补西墙，影响的是整个站点的功能。还有用 htmlspecialchars() 的，效果虽然接近，但 htmlentities() 在对付非 ASCII 字符时更彻底，稳妥起见推荐后者。

如果你的页面上还需要代码高亮或者交互功能，可以用 Prism.js 或 Highlight.js 这类专用库。不过要注意，这些工具底层依赖的依然是已经转义好的 HTML 内容——换句话说，htmlentities() 始终是第一步，安全渲染的根基不能省。

一句话总结：别指望 PHP 代码会乖乖“原样进入” textarea。养成习惯，用 htmlentities() 或者等价的转义手段，把代码变成纯文本 HTML 实体。只有这一步做扎实了，用户才能在页面上看到你想展示的、原汁原味的代码。