XSS 防护

  正文里 {{ q }}(自动转义)                  载荷 '<script>window.__x=1</script>'
      服务端输出的 HTML: <div>&lt;script&gt;window.__x=1&lt;/script&gt;</div>
      浏览器结果:没有执行
  正文里 {{ q|safe }}                   载荷 '<script>window.__x=1</script>'
      服务端输出的 HTML: <div><script>window.__x=1</script></div>
      浏览器结果:XSS 执行了
  属性不加引号 value={{ q }}               载荷 'x onfocus=window.__x=1 autofocus'
      服务端输出的 HTML: <input value=x onfocus=window.__x=1 autofocus>
      浏览器结果:XSS 执行了
  属性加引号 value="{{ q }}"              载荷 '" onfocus="window.__x=1" autofocus'
      服务端输出的 HTML: <input value="&#34; onfocus=&#34;window.__x=1&#34; autofocus=&#34;">
      浏览器结果:没有执行
  脚本里的字符串 "{{ q }}"                  载荷 '";window.__x=1;//'
      服务端输出的 HTML: <script>var name = "&#34;;window.__x=1;//";</script>
      浏览器结果:没有执行
  脚本里直接 {{ q }}(没有引号)                载荷 '1;window.__x=1'
      服务端输出的 HTML: <script>var n = 1;window.__x=1;</script>
      浏览器结果:XSS 执行了
  脚本里 {{ q|tojson }}                 载荷 '1;window.__x=1'
      服务端输出的 HTML: <script>var n = "1;window.__x=1";</script>
      浏览器结果:没有执行
  href="{{ q }}"(页面自动点击链接)           载荷 'javascript:window.__x=1'
      服务端输出的 HTML: <a id=l href="javascript:window.__x=1">click</a><script>document.getElementById("l").click()</script>
      浏览器结果:XSS 执行了
  Markup("<b>" + q + "</b>") 拼接后输出   载荷 '<img src=x onerror=window.__x=1>'
      服务端输出的 HTML: <div><b><img src=x onerror=window.__x=1></b></div>
      浏览器结果:XSS 执行了