不转换字符的转义标记

Question

我使用jinja2安全地呈现来自web联系人表单的电子邮件模板。问题是字符&；、<；、>；、'和“被转换为HTML安全序列。所以呢

That's all folks!

变成

That's all folks!

我想删除任何HTML标记以防止XSS没有任何字符编码。在金盏2中可能吗？你知道吗

注意：striptagsutility也转换字符。你知道吗

Answer 1

我认为那是不可能的。您将如何处理That's only true when x<y and x>0之类的消息。<和>之间的部分是消息的一部分，但可以解释为（borked）HTML标记。你知道吗

由浏览器来读取That's all folks!，并通过解码字符来正确显示。你知道吗