Flask依赖Jinja2默认HTML转义防XSS，但开发者绕过（如|safe、字符串拼接、JS上下文未用|tojson）会导致漏洞；需严格避免放行用户输入、禁用模板外拼接、在属性/URL中正确转义，并结合CSP与白名单加固。
Flask本身不自动阻止XSS，但Jinja2模板默认对变量输出做HTML转义——前提是**你没主动关掉它、没用|safe、也没手动拼接HTML字符串**。绝大多数XSS漏洞，其实源于开发者绕过了这个默认保护。
别在Jinja2模板里用|safe放行用户输入
这是最常见也最危险的操作。一旦给用户输入加了|safe，Jinja2就跳过转义，原样插入HTML。
- 错误写法：
{{ user_comment|safe }}—— 如果user_comment是<script>alert(1)</script>，它真会执行 - 正确写法：
{{ user_comment }}—— 默认已转义为<script>alert(1)</script> - 例外场景：仅当你100%确定内容来自可信源（如CMS后台编辑的富文本），且已用
bleach等库清洗过，才考虑|safe
别用Python字符串拼接生成HTML响应
绕过模板引擎，直接用str.format()或f-string拼HTML，等于彻底放弃Jinja2的转义机制。
- 危险示例：
return f"<h2>Hello, {name}</h2>"——name含<img onerror="alert(1)" alt="如何修复Python Flask项目中的XSS跨站脚本安全漏洞？" >就中招 - 安全替代：
return render_template("hello.html", name=name)，然后在模板里写{{ name }} - 若必须拼接（如生成邮件HTML），先用
html.escape()：from html import escape; safe_name = escape(name)
警惕JavaScript上下文里的XSS
模板变量插进<script></script>标签或onclick属性时，HTML转义不够用——得用JavaScript字符串转义。
Flask Wrap
下载
火焰围攻 授权: q15040409-creator.功能概述火焰围攻 授权: q15040409-creator.是一项面向实际任务的技能，主要用于Description.；Flask Web. - Python.；核心要点HTTP?；.Version.1.0.tags. wrap.github.automation.。它将相关步骤、工具调用和结果整理方式集中到统一流程中，帮助使用者更快完成目标并减少重复操作。使用与执行使用时应结合输入条件选择合适的执行方式，核对必要参数、依赖环境与输出内容，并按原始要
立即学习“Python免费学习笔记（深入）”；
- 错误：
<script>var msg = "{{ user_input }}";</script>—— 单引号、反斜杠、都会破坏结构 - 正确：
<script>var msg = {{ user_input | tojson }};</script>——tojson过滤器会生成合法JSON字符串并自动引号包裹 - 属性值同理：
<button onclick="doAction('{{ action }}')"></button>→ 改用data-action="{{ action }}"+ JS读取，更可靠
输出到HTML属性或URL时要额外小心
HTML转义只防和<code>>，但"、'、=、>在属性里仍可触发XSS。
- 避免把用户数据直接塞进双引号属性：
<div id="{{ user_id }}"> <li>改用单引号+转义：<code><div id="{{ user_id | e }}">（<code>e是escape别名） - URL参数必须用
|urlencode：<a href="/search?q=%7B%7B%20query%20%7C%20urlencode%20%7D%7D"></a> - 绝对不要拼接
javascript:xxx或data:text/html,xxx这类伪协议
真正难防的是那些“看起来不像代码”的输入——比如onmouseover=alert(1)藏在昵称里，或data:image/svg+xml,<svg onload="..."></svg>伪装成头像URL。这时候光靠转义不够，得结合CSP策略和输入白名单校验，但那是另一层防御了。
