已验证65% 置信事实时间未知
Django模板引擎默认对输出内容进行HTML转义，但使用mark_safe()或|safe过滤器时会绕过此保护
3
来源数
65%
置信度
长期有效
时效性
2026/6/1
首次发现
来源
AI编程实战：从零开发Python Django后台管理系统全流程
bilibili杭州黄老师
涉及实体
相关事实
待验证Block Engine 使用标签语法混写代码，用 <py> 标签写 Python、<js> 写 JavaScript、<lua> 写 Lua、<php> 处理 PHP 代码块60% 相似待验证间接prompt注入的恶意指令藏在agent会读取的外部内容（网页、PDF、数据库字段、工具返回的JSON）中，传统在用户输入处做过滤的做法对此无效，有效拦截点是在工具结果进入上下文之前检查。58% 相似待验证应永远不要把模型输出当作原始HTML插入，要视为不可信内容处理以防范注入风险57% 相似待验证文中提到的 AST 驱动脱敏指利用抽象语法树解析 HTML/DOM 或 JSON 结构，按节点类型精准过滤敏感字段，比纯正则表达式更能避免漏网或误伤。57% 相似待验证评估者不能只读代码，需接入工具（如 Playwright MCP）实际打开页面、点击按钮、截图、查 DOM，将判断基础从静态代码审查升级为真实行为验证。56% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/16499API
curl https://kongchang.com/api/v1/knowledge/claims/16499MCP
get_claim(id=16499)