`linebreaksbr`过滤器会过滤掉用户文本中已有的HTML标签吗？
在 AnQiCMS 模板开发中，linebreaksbr 过滤器是一个很常用的工具，它主要用于处理文本中的换行符，让它们在网页上以可见的分行形式展现。那么，如果用户文本中已经包含了 HTML 标签，linebreaksbr 过滤器会如何处理呢？这是一个值得深入探讨的问题。
linebreaksbr 过滤器的主要作用
顾名思义，linebreaksbr 的核心作用是将用户输入文本中的换行符（\n）自动转换成 HTML 的 <br/> 标签。这对于那些希望保留文本原始排版，但又不希望手动插入 HTML 换行标签的场景非常有用。比如，用户在后台多行文本框中输入的内容，经过 linebreaksbr 过滤器处理后，就能在网页上自然地分行显示。
linebreaksbr 对已有 HTML 标签的处理：默认是转义
关于 linebreaksbr 过滤器是否会过滤掉用户文本中已有的 HTML 标签，更准确的说法是：在默认情况下，它不会“过滤”掉，而是会将这些已有的 HTML 标签进行转义处理。
AnQiCMS 的模板引擎设计，如同许多现代的模板系统一样，内置了自动 HTML 转义机制。这项机制是为了增强网站的安全性，有效防范跨站脚本（XSS）攻击。当模板渲染内容时，任何被识别为 HTML 标签的字符，例如 < 和 >, 都会被自动转换为 HTML 实体，如 < 和 >。这意味着，即使你的原始文本中含有 <p>这是一个段落</p>，未经额外处理，它在页面上会显示为字面意义的 <p>这是一个段落</p>，而不是一个实际的段落。
因此，当 linebreaksbr 过滤器作用于包含 HTML 标签的文本时，它首先会处理换行符，将 \n 转换为 <br/>。但与此同时，模板引擎的自动转义功能会继续发挥作用，将文本中所有原有的 HTML 标签（例如 <b>、<a> 等），以及 linebreaksbr 自身转换出来的 <br/> 标签，一并转义。最终的结果是，你虽然在理论上获得了换行，但所有的 HTML 结构都“失效”了，只显示了纯文本或转义后的文本，浏览器并不会将其解析为 HTML 元素。
如何让 HTML 标签正常显示：配合 |safe 过滤器
要解决这个问题，并让 linebreaksbr 过滤器在正确处理换行符的同时，保留用户文本中应有的 HTML 标签，你需要配合使用 |safe 过滤器。
|safe 过滤器是告诉 AnQiCMS 模板引擎，你所处理的这段内容是“安全”的，不需要进行自动 HTML 转义，应该作为原始 HTML 代码直接输出到浏览器。当你将 linebreaksbr 的处理结果再次通过 |safe 过滤器时，模板引擎会先完成换行符的转换，然后将整个结果（包括转换出的 <br/> 和用户文本中原有的 HTML 标签）视为安全内容，直接渲染。
例如，如果你有一个变量 my_content，其中包含类似 你好\n世界<b>AnQiCMS</b> 的内容，并且你想让它在页面上显示为带有换行和加粗效果的 HTML，你需要这样使用：
{{ my_content|linebreaksbr|safe }}
这样，输出将是 你好<br/>世界<b>AnQiCMS</b>，浏览器会正确地解析并显示这个带有换行和加粗效果的 HTML。
使用 |safe 的重要注意事项
然而，|safe 过滤器并非没有风险。使用它意味着你信任该内容来源，并承担其可能包含恶意脚本（XSS）的风险。恶意用户如果能在文本中插入 <script>alert('XSS')</script> 这样的代码，并且这段内容被 |safe 过滤器处理后直接输出，那么这些恶意脚本就会在访问者浏览器中执行，从而造成安全漏洞。
因此，强烈建议仅对你完全信任的、确认不含恶意代码的用户内容或系统生成内容使用 |safe 过滤器。 对于来自外部或不可信用户输入的文本，应谨慎使用或进行严格的内容净化和验证，以确保网站的安全。
在实际应用中，这种组合过滤器常用于处理富文本编辑器（如 Markdown 编辑器或所见即所得编辑器）生成的内容，这些内容通常已经包含了合法的 HTML 标签，并且用户也希望这些标签能在页面上正确渲染。同时，用户在普通文本框中输入的简单多行文字，如果希望保持换行且不涉及复杂 HTML，也适用 linebreaksbr|safe。
总而言之，AnQiCMS 中的 linebreaksbr 过滤器本身并不会主动“过滤” HTML 标签，而是模板引擎的默认安全机制将其转义。若要让 linebreaksbr 处理后的内容及其中的 HTML 标签能够正常显示，务必在其后追加 |safe 过滤器，但同时也需牢记其潜在的安全风险，并确保内容来源的可靠性。
常见问题 (FAQ)
linebreaks和linebreaksbr过滤器有什么区别？linebreaksbr过滤器只会将文本中的换行符（\n）转换为 HTML 的<br/>标签。而linebreaks过滤器则更进一步，它会将单独的换行符转换为<br/>，并将连续的两个或更多换行符（表示段落分隔）转换为 HTML 的<p>和</p>标签包裹的段落。两者都需要配合|safe过滤器才能正确渲染 HTML 标签。为什么 AnQiCMS 模板引擎要默认转义 HTML 标签？ 模板引擎默认转义 HTML 标签是为了增强网站的安全性，主要用于防范跨站脚本（XSS）攻击。如果模板引擎不自动转义，恶意用户就可以通过在输入框中提交 HTML 或 JavaScript 代码，在其他用户浏览该内容时执行恶意操作，例如窃取 Cookie、篡改页面内容等。通过默认转义，这些潜在的恶意代码会被转换为无害的文本，从而保护网站和用户。
如果我的内容是 Markdown 格式，我还需要
linebreaksbr|safe吗？ 对于 Markdown 格式的内容，如果 AnQiCMS 后台的“内容设置”中已经启用了 Markdown 编辑器，那么系统通常会自动将 Markdown