这种情况看上去，没多大害处，如果一个用户知道这一步，它完全有能力写一个javascript在我们未知的安全区域来执行一些恶意行为。这个问题的解决办法是输出安全转义。 如果添加了输出安全转义，同样的模板会渲染出无害的内容，script标签会作为普通文本输出到屏幕上。
Hello <script>alert('helloe')</script>
PHP和Twig模板化系统采用了不同的方式来解决这个问题。如果你使用Twig，默认情况下是输出安全转义的，你的输出是受到保护的。如果是PHP，则输出安全转义不是自动的，需要你手工的进行处理。
Twig中的安全输出
如果你使用Twig模板，那么输出安全是默认的。你不需要对用户提交的输出内容进行手动保护。在某些情况下，你需要关闭输出安全保护，当你渲染某个可信变量或者包含某个标签时。假设管理员用户可以编写一些代码有HTML标签的文章。默认情况下，Twig将转义文章体。为了渲染正常，需要添加一个raw 过滤器：
{{article.body | raw }}
你也可以在{% block %}区域或者整个模板中关闭安全保护。
PHP中的安全输出保护：
在PHP中安全输出保护不是自动完成的，这就意味着除非你显示的选择来对某个输出变量进行保护，否则输出都是不安全的。我们使用view的方法escape()来对输出变量进行安全输出保护：
Hello <?php echo $view->escape($name) ?>
默认情况下，escape()方法默认情况下假设变量是被渲染在一个HTML上下文中的。也就是说只针对HTML安全。 它的第二个参数让你能够改变它针对的上下文。
比如需要在javascript上下文中输出某些东西，就是用 js 上下文。
var myMsg = 'Hello <?php echo $view->escape($name, 'js') ?>';
模板调试
当使用php代码时，我们可以使用var_dump()来快速的查看一个值的变量传递。同样在Twig中，我们可以使用debug扩展来达到相同的效果，只是需要预先在配置文件中开启。
YAML 格式：
# app/config/config.yml services: acme_hello.twig.extension.debug: class: Twig_Extension_Debug tags: - { name: 'twig.extension' }
XML格式：
<!-- app/config/config.xml --> <services> <service> <tag /> </service> </services>
PHP代码格式：
// app/config/config.php use Symfony\Component\DependencyInjection\Definition; $definition = new Definition('Twig_Extension_Debug'); $definition->addTag('twig.extension'); $container->setDefinition('acme_hello.twig.extension.debug', $definition);
这时候，我们就可以使用dump函数来查看模板参数了：
{# src/Acme/ArticleBundle/Resources/views/Article/recentList.html.twig #} {{ dump(articles) }} {% for article in articles %} <a href="/article/{{ article.slug }}"> {{ article.title }} </a> {% endfor %}
模板格式：
模板是一个渲染任何格式内容的通用的方式。大多数情况下，我们使用模板来渲染HTML内容。模板同样也能渲染想javascript,CSS,XML以及你能想象到的其它格式内容。比如，同一个资源resource经常被渲染为不同的格式。把文章目录页渲染为XML，你需要在模板的名称中包含相应的格式即可。
XML 模板名： AcmeArticleBundle:Article:index.xml.twig
XML 模板文件名：index.xml.twig
事实上，这里只是命名上有了变化，而模板并没有真正的基于不同的格式渲染不同。在大多数情况下，你可能想让单一的controller根据请求的格式不同渲染多个不同的格式。下面是一个通常的写法：
public function indexAction() { $format = $this->getRequest()->getRequestFormat(); return $this->render('AcmeBlogBundle:Blog:index.'.$format.'.twig'); }
Request对象的getRequestFormat()方法默认返回值为html, request的格式通常是在路由时决定的。比如/contact 设置的请求格式是html,而 /contact.xml 设置的请求格式则是 XML。创建一个包含请求格式的链接，只需要在参数哈希表中包含 _format键值即可。
Twig格式：
<a href="{{ path('article_show', {'id': 123, '_format': 'pdf'}) }}"> PDF Version </a>
PHP代码格式：
<a href="<?php echo $view['router']->generate('article_show', array('id' => 123, '_format' => 'pdf')) ?>"> PDF Version </a>
总结思考：