Javascript 如何防止在Google App Engine上运行的python 2.7中注入java脚本

我想让我的网站不受java脚本注入的影响，比如：

alert（“trololo”）。
我的第一个问题是从哪里开始，用HTML还是Python？
第二，如何做到这一点

我的python输入（意见）处理程序如下所示：

class SaveHandler(BaseHandler):
def post(self):
    first_last_name = self.request.get("name")
    email = self.request.get("email")
    opinion = self.request.get("opinion")

    save_opinion = Opinion(first_last_name=first_last_name, email=email, opinion=opinion)
    save_opinion.put()

    return self.render_template("saved.html")

我的HTML代码如下所示：

<form method="post" action="/saved">
<h4> Your First and Last Name: </h4>
<input name="name"> </input>
<h4>Your Email: </h4>
<input name="email"> </input>
<h4>Your Opinion Counts!: </h4>
<textarea name="opinion" placeholder="Leave us your opinion..."></textarea>
<br>
<br>
<button type="submit"> Submit your messsage! </button>


您的姓名：
您的电子邮件：
你的意见很重要！：




提交你的信息！

您想退出您的输入。这需要在服务器端进行，因为客户端在用户的控制下，可以进行操作

要开始，请。这允许您转义HTML的特殊字符。字符串不会被执行，而是以输入的方式显示在页面上。
谢谢您的提示！我发现soloution有点不同，但它并不优雅：“如果”在意见中：返回self.write（“不能攻击我！”）“还有其他建议吗？@luckie不要这样做<代码>

无法识别，但仍在执行。（注意空格）意见。替换（“，”）这样更好吗？不，不是。在安全问题上，当已经有一个完美的解决方案可用时，请不要尝试自己动手。您可能会错过一些案例。查看jinja2模板和自动转义。