XSS 防护与模板自动转义

  {{ p }}                                      '&lt;script&gt;alert(1)&lt;/script&gt;'                      含原样的 <script>: False
  {{ p|safe }}                                 '<script>alert(1)</script>'                                  含原样的 <script>: True
  {% autoescape off %}{{ p }}{% endautoescape %} '<script>alert(1)</script>'                                  含原样的 <script>: True
  {{ p }}(变量被 mark_safe 过)                     '<script>alert(1)</script>'                                  含原样的 <script>: True
  format_html("<b>{}</b>", P)                  '<b>&lt;script&gt;alert(1)&lt;/script&gt;</b>'               含原样的 <script>: False
  mark_safe("<b>" + P + "</b>")(拼接)            '<b><script>alert(1)</script></b>'                           含原样的 <script>: True

  title="{{ q }}"         → <div title="&quot; onmouseover=&quot;alert(1)">x</div>
  title={{ q }}(没加引号)→ <div title=x onmouseover=alert(1)>x</div> ← 空格没被转义,多出了一个属性
  href="{{ u }}",u = javascript:alert(1) → <a href="javascript:alert(1)">x</a>   (原样保留)
  url_has_allowed_host_and_scheme('javascript:alert(1)'       , allowed_hosts={"example.com"}) → False
  url_has_allowed_host_and_scheme('https://example.com/x'     , allowed_hosts={"example.com"}) → True
  url_has_allowed_host_and_scheme('/local/path'               , allowed_hosts={"example.com"}) → True
  url_has_allowed_host_and_scheme('//evil.example/x'          , allowed_hosts={"example.com"}) → False

  escapejs        → <script>var d = \u003C/script\u003E\u003Cscript\u003Ealert(1)\u003C/script\u003E;</script>
  json_script     → <script id="cfg" type="application/json">{"name": "\u003C/script\u003E\u003Cscript\u003Ealert(1)\u003C/script\u003E", "n": 1}</script>
  json_script 输出里含原样的 </script>: False
  只用自动转义放进 JS 字符串 → <script>var name = "&quot;;alert(1);//";</script>  ← 引号被转成 &quot;,但这不是 JS 的转义方式,不要这样写

  {{ t|linebreaks }}             → '<p>&lt;script&gt;alert(1)&lt;/script&gt;</p>'       含原样的 <script>: False
  {{ t|urlize }}                 → '&lt;script&gt;alert(1)&lt;/script&gt;'              含原样的 <script>: False
  {{ t|linebreaksbr }}           → '&lt;script&gt;alert(1)&lt;/script&gt;'              含原样的 <script>: False
  {{ t|truncatechars:40 }}       → '&lt;script&gt;alert(1)&lt;/script&gt;'              含原样的 <script>: False
  {{ t|striptags }}              → 'alert(1)'                                           含原样的 <script>: False
  {{ t|safe|linebreaks }}        → '<p><script>alert(1)</script></p>'                   含原样的 <script>: True
  {{ t|safe|truncatechars:40 }}  → '<script>alert(1)</script>'                          含原样的 <script>: True