Twig默认开启HTML自动转义，但仅对HTML body有效；在属性、JS、CSS等上下文中需显式指定autoescape或使用对应过滤器，否则仍存在XSS风险。
Twig默认开启autoescape，但不是万能的
Twig确实默认对{{ }}中的变量做HTML转义，比如{{ user_input }}会自动变成<script>alert(1)</script>，防止XSS。但这只对html上下文生效——如果你把变量塞进href、onclick或style里，它不会自动适配上下文，照样可能被绕过。
常见错误是这样写：
<a href="{{ url }}">链接</a>
<button onclick="doSomething('{{ action }}')">点击</button>
如果url是javascript:alert(1)，或者action含单引号和JS代码，就直接执行了。Twig不分析属性语义，只按配置的默认上下文处理。
- 必须显式指定上下文：用
{% autoescape 'html_attr' %}包裹href/src等属性值 - JS上下文要用
{% autoescape 'js' %}，CSS用{% autoescape 'css' %} - 更稳妥的做法是用
|e('html_attr')这类过滤器，比块级autoescape更精准
缓存目录权限不对，Twig会静默失败
启用cache选项后，Twig把编译后的PHP文件写入指定目录。但它不会报错告诉你“写不了”，而是退回到每次重新解析模板——性能暴跌，且没有任何日志提示。
立即学习“PHP免费学习笔记（深入）”；
典型现象是：开发环境改了模板立刻生效（因为关了缓存），上线后页面变慢、CPU飙升，查半天才发现cache路径不可写。
- 确认缓存目录存在且Web服务器用户（如
www-data）有写权限 - 不要用相对路径：
'cache' => 'var/cache/twig'容易因工作目录不同失效，改用绝对路径 - 生产环境必须开缓存，开发时可设为
false或new \Twig\Cache\FilesystemCache('/dev/shm/twig')（用内存临时目录）
Blade和Smarty的autoescape是手动的，Twig是默认的
这是选型时最容易忽略的差异点。Blade默认不转义，要写{{ $data }}才转义，{!! $data !!}才是原样输出；Smarty默认也不转义，得用{$var|escape}。而Twig反着来：{{ }}默认转义，想不转得明确写{{ var|raw }}。
团队从Blade迁到Twig时，常因习惯性加|raw导致XSS漏洞；反过来，从Twig切到Blade又容易漏掉!!，页面显示一堆HTML标签。
- 检查所有
|raw调用——它们都是潜在风险点，必须确认数据来源可信 - 全局禁用
raw过滤器（在Twig扩展中移除）可强制收敛风险 - 如果项目允许用户提交富文本，别用
|raw，改用|striptags或白名单HTML解析库（如HTML Purifier）
模板继承结构太深，debug起来像迷宫
Twig支持多层{% extends %}，但超过3层后，一个变量在哪定义、在哪覆盖、在哪输出，几乎没法靠肉眼追踪。尤其当多个{% block %}嵌套+{% parent() %}混用时，修改一处可能意外影响其他页面。
这不是安全问题，但直接影响维护成本和漏洞修复速度——你连变量从哪来都搞不清，怎么判断它是否该转义？
- 限制继承层级≤2：基础布局 + 页面布局，别再套第三层
- 用
twig debug:template命令（需安装symfony/console）查看实际渲染链路 - 避免在
{% block %}里重复赋值，统一在顶层{% set %}或传参中处理
