Twig默认对{{ variable }}自动HTML转义以防止XSS，支持按上下文（html/js/css等）差异化转义，禁用仅限可信HTML且必须用|raw，Symfony中推荐显式配置autoescape: html。
Twig 默认对所有 {{ variable }} 中的变量执行 HTML 转义，这是它保障视图层安全的核心机制。你不需要手动调用 htmlspecialchars()，Twig 在渲染时自动完成——比如传入 $name = '<script>alert(1)</script>'，写 {{ name }} 会原样输出为 <script>alert(1)</script>，浏览器不会执行脚本。
这个行为由 autoescape 环境选项控制，默认开启且上下文为 html。它只影响 {{ }} 插值语法，{% %} 逻辑块不受影响。
转义规则依赖当前上下文
Twig 会根据模板所处的上下文（如 HTML、JavaScript、CSS、HTML 属性等）采用不同转义策略：
-
{{ content }}在普通 HTML 模板中 → 按 HTML 实体转义（<→） -
{% autoescape 'js' %}{{ content }}{% endautoescape %}→ 按 JavaScript 字符串规则转义（如'→\'，换行 →\n） -
{% autoescape 'css' %}{{ color }}{% endautoescape %}→ 防止 CSS 注入，转义特殊字符 -
{% autoescape 'html_attr' %}{{ value }}{% endautoescape %}→ 用于属性值，处理引号与等号
你也可以在模板顶部声明全局上下文：{% autoescape 'js' %} —— 后续所有 {{ }} 都按 JS 上下文转义，直到 {% endautoescape %} 或文件结束。
什么时候可以禁用转义？怎么禁用才安全？
仅当你完全确定变量内容是可信的 HTML 片段，且需要被浏览器解析为真实 DOM 时，才考虑禁用转义。典型场景包括：
- CMS 富文本编辑器保存的内容（已通过
HtmlPurifier清洗） - 后台配置的静态 HTML 片段（非用户直接输入）
- 经过
strip_tags()+ 白名单标签过滤后的字段
禁用方式只推荐一种：{{ html_content|raw }}
不推荐做法：
-
{% autoescape false %} ... {% endautoescape %}—— 范围大、难审查、易遗漏风险点 - 在 PHP 层提前拼接 HTML 再传给 Twig —— 完全绕过 Twig 安全链
- 对循环中的用户输入加
|raw—— 即使加了nl2br也不安全
|raw 是显式标记，方便代码审计和静态分析工具识别高风险输出点。
Symfony 项目中统一配置转义策略
Symfony 默认启用 Twig 的 autoescape: html，但可通过 config/packages/twig.yaml 微调：
twig: autoescape: html # 显式声明更清晰；true 等价但不推荐 strict_variables: true # 变量未定义时报错，避免空字符串被误当 HTML 渲染
注意：
-
autoescape: false已在 Symfony 6+ 中弃用，全局关闭极其危险 - 不同 Bundle 可定义独立策略，例如邮件模板常用
autoescape: 'email' - 自定义扩展中若动态渲染子模板（如
$runtime->render()），需确保子模板继承相同autoescape上下文，否则可能漏转义
空格、缩进等空白字符被转成 怎么办？
这不是 Twig 的 HTML 转义导致的，而是浏览器对连续空白字符的默认渲染行为（HTML 规范中多个空格/换行会被合并为一个空格）。如果你需要保留缩进或空格，有几种实用方式：
- 使用
<pre>或<code>标签包裹内容 - 添加 CSS：
white-space: pre-wrap; - 输出时用
|raw）：{{ " " ~" " ~" -- "|raw }} - 更推荐：改用
str_repeat(' ', n)生成空格后传入，再用|raw输出（前提是确认该内容无 XSS 风险）
不要为了空格而全局关掉 autoescape，那等于放弃安全底线。
