发信模板没有转义机制时，后台填进去的内容会在哪一环被执行

发信模板没有转义机制时，后台填进去的内容会在哪一环被执行？在被输出渲染的那一环。Joomla 2026 年 9 月的公告 CVE-2026-90918 描述的正是这种缺陷：HTML 邮件模板功能缺少转义机制，导致多个扩展出现跨站脚本向量。它提醒了一件容易被忽略的事：模板输出的转义要求不分邮件还是网页，凡是没有转义机制就把内容拼进 HTML 的位置，都属于同一个风险面。

缺的是转义还是过滤？

这份公告里影响、严重程度、发生概率三项都评为中等，受影响版本覆盖两个系列，解决方式是升级。成因原文的关键词是”缺少转义机制”。转义发生在输出侧，决定内容以什么形态被解释；过滤发生在写入侧，决定什么内容允许进来。两者经常被混为一谈，但缺了转义的模板，就算写入侧把关再严，特定构造的内容仍会在被浏览器或邮件客户端解释时变成代码。治理这类问题要两侧分开看：写入侧管准入，输出侧管形态，缺哪一侧都不完整。

邮件模板和网页模板为什么风险同源？

两者最终都产出 HTML，都要过同一道关卡：动态内容进入标记之前，必须按上下**转义。差别只在触发场景——网页模板的注入在浏览者打开页面时执行，邮件模板的注入在收件人的邮件客户端渲染时执行，后者还可能借邮件里的链接把攻击延伸到浏览器会话。所以邮件提醒这类后台功能里填写的内容，安全等级应当与页面内容对齐处理，而不是因为”只是发个邮件”就放松要求。

哪些内容来源都要过转义？

至少三类。一是后台填写项：模板正文、页脚、签名，这些字段看起来只有管理员能写，但管理员账号被盗、协作者权限被滥用都是现实场景，这里就是现成的注入点。二是采集与同步进来的内容：来源站被注入了恶意标记，采集侧会原样把它搬进来。三是用户提交内容：评论、留言、表单，审核通过后展示的部分同样要转义，审核针对的是内容合规，不是代码形态。以 AnQiCMS 为例，内容安全设置里有敏感词过滤与关键词替换、内容审核这些写入侧手段，负责把不合规内容挡在入库之前；输出侧的转义是另一道独立关卡，两侧互不替代。

自查与配置顺序怎么走？

先看输出侧：系统的模板引擎是否默认转义，自定义模板里有没有绕过转义的输出写法，邮件模板里的动态字段是否按上下文处理。再看写入侧：敏感词过滤与内容审核的规则是否覆盖所有内容来源，关键词替换是否可能引入标记字符——替换发生在写入侧，如果替换词本身含标记结构，同样会改变输出形态。最后确认版本：模板转义这类修复通常随版本发布，跟进更新是成本最低的动作，公告里的受影响版本区间要对照自己的版本逐项核对。

常见问题

问：只有管理员能填的字段也需要担心吗？ 答：需要。管理员账号被盗、协作者权限被滥用都是现实场景；输出侧转义的价值正在于它不依赖对写入者的信任。

问：纯文本邮件也有这个问题吗？ 答：风险主要在 HTML 渲染环节；但同一套模板系统常同时服务两种格式，按统一的转义口径处理最省心。

问：升级之外，配置上能先做什么？ 答：收紧模板编辑权限，排查所有自定义模板里绕过转义的输出写法，并确认内容审核与替换规则不会引入标记字符。