在安企CMS（AnQiCMS）中构建网站模板，内容的安全显示是一个核心议题，尤其当内容可能包含HTML标签或JavaScript代码时，如何有效防范跨站脚本（XSS）攻击显得尤为重要。安企CMS作为一款以安全为重的Go语言内容管理系统，在设计之初就考虑到了这些安全挑战，并提供了相应的机制来帮助用户管理和控制内容的渲染方式。
了解XSS攻击及其危害
首先，我们需要理解XSS攻击是什么。XSS，即跨站脚本攻击，指的是攻击者通过在网页中注入恶意脚本（通常是JavaScript），当用户访问被注入脚本的页面时，这些脚本就会在用户的浏览器上执行。恶意脚本可以窃取用户的Cookie信息（可能包含会话凭证，导致账户被盗）、修改网页内容（进行钓鱼诈骗）、重定向用户到恶意网站，甚至利用浏览器漏洞进行更深层次的攻击。对于一个网站而言，XSS攻击不仅损害用户利益，也会严重影响网站的信誉和安全。
安企CMS的默认安全机制：自动转义
安企CMS的模板引擎采用了类似Django模板引擎的语法，其核心优势之一就是默认对输出内容进行自动转义。这意味着，当你在模板中直接使用{{变量}}来显示来自后台的任何内容时，系统会自动将HTML标签（如<script>、<img>、<a>等）和特殊字符（如&、"、'、<、>）转换为其对应的HTML实体。
例如，如果一个内容字段包含 <script>alert('XSS');</script>，在默认情况下，它不会被浏览器解析为可执行的JavaScript代码，而是显示为文本 <script>alert('XSS');</script>。这种自动转义机制是防止XSS攻击的第一道也是最重要的一道防线，确保了绝大多数情况下用户输入内容的安全性。
何时需要显示原生HTML或JavaScript？
尽管自动转义提供了强大的保护，但在某些特定的业务场景下，我们确实需要模板能够直接渲染HTML内容。最常见的场景包括：
- 富文本编辑器内容： 当内容（例如文章详情、产品描述、单页面内容、分类介绍等）是通过后台的富文本编辑器录入时，内容通常会包含段落、图片、链接、加粗、斜体等HTML标签，这些内容是期望被浏览器解析并呈现出格式化效果的。
- 自定义嵌入代码： 有时，为了集成第三方服务（如视频播放器、地图、广告代码等），可能需要在模板中嵌入一段由管理员手动添加的HTML或JavaScript代码。
- 少量管理员信任的HTML片段： 某些特定的、经过严格审查的HTML结构，可能需要直接在模板中渲染。
在这种需要显示原生HTML内容的情况下，安企CMS提供了|safe过滤器，允许我们显式地告诉模板引擎：“这段内容是安全的，请不要对其进行转义。”
使用|safe过滤器：信任与责任
当我们需要显示未经转义的HTML或JavaScript内容时，可以在变量后面加上|safe过滤器。例如，在文档详情页中，我们通常会这样显示文章内容：
<div>
{%- archiveDetail articleContent with name="Content" %}
{{articleContent|safe}}
</div>
或者在页面详情中：
<div>单页内容：{% pageDetail pageContent with name="Content" %}{{pageContent|safe}}</div>
|safe过滤器的作用是绕过模板引擎的自动转义机制，将变量中的内容原样输出到HTML中。
然而，使用|safe过滤器意味着巨大的安全责任转移。 一旦使用了|safe，就相当于你向模板引擎声明：
- “我确认这个变量
articleContent中的内容是经过严格审查和验证的。” - “我保证这段内容不会包含任何恶意脚本，即使它来自用户输入。”
如果一个包含恶意脚本的用户输入内容被不加审查地存储到数据库中，然后通过|safe过滤器在模板中显示，那么XSS攻击就会发生。因此，在使用|safe时，务必确保内容的来源是可信的，或者内容在存储到数据库前已经经过了严格的服务端净化（Sanitization）处理。
安企CMS在内容管理（如文档内容、页面内容、分类内容、标签内容等）中，会将富文本编辑器输入的内容视为管理员或受信任用户输入，因此在模板中使用|safe来渲染这些内容是常见且合理的。但如果你的某些字段允许普通用户直接输入HTML或JavaScript，而你又使用了|safe去显示它，就需要极其小心。
更细致的控制：autoescape标签与|escape过滤器
除了|safe过滤器，安企CMS的模板引擎还提供了autoescape标签和|escape过滤器，用于更细粒度地控制转义行为：
{% autoescape off/on %}标签： 可以用来开启或关闭一个模板块内的自动转义功能。{% autoescape off %}到{% endautoescape %}之间的内容将不会被自动转义。{% autoescape on %}则会强制开启转义，即使外部环境设置了关闭。 在实际使用中，由于安企CMS默认就是开启自动转义的，on的状态通常是隐式的，而off状态则需要谨慎使用，并且通常是用于那些你完全信任且需要解析HTML的特定内容块。
|escape过滤器： 这个过滤器会强制对内容进行HTML实体转义。在安企CMS默认自动转义的环境下，|escape通常是多余的，因为它只是重复了默认行为。但在某些特定场景下，比如你关闭了autoescape，但某个变量仍需要转义时，可以使用它。
JavaScript内容的特殊处理：|escapejs过滤器
如果你的内容需要嵌入到JavaScript代码块中（例如，作为JavaScript变量的值），仅仅使用|safe或让其自动转义可能不足以防止所有类型的JS注入。此时，|escapejs过滤器就派上了用场。
|escapejs过滤器会将内容中的特殊字符（如"、'、\、\n等）转换为JavaScript安全的转义序列（例如，"会变为\"，换行符会变为\n）。这可以有效防止攻击者通过闭合字符串或注入新代码行来执行恶意JavaScript。
示例用法：
”`twig