django 关闭自动转义有什么风险

Question

我最近在用django做一个个人的博客，但是HTML编辑器提交给后台的是html标签，在加载的时候django对这个标签做了转义，所以就看不到想要的效果，比如字体的大小，颜色之类的。
现在通过{{content|safe}}这种方式对content去掉自动转义就能解决问题。但是我想知道这样做对网站的安全有有哪些风险，怎么规避这种风险？

Answer 1

js注入。 我提交<script>邪恶js代码</script>

Answer 2

不能去掉，无法规避。字体大小颜色你可以使用markdown写作，css定义样式，就像segmentfault这样。

Answer 3

<javascript>
alert("hello");
</javascript>