Spring mvc Thymeleaf国际化（i18n）和html标记

我有html代码，必须用不同的语言生成

Click <a href="https://here">here</a> 
Kliknij <a href="https://here">tutaj</a>

然后在百里香：

<span th:text="#{messages.click_here(${url})}"></span>

但现在我的应用程序暴露于代码注入。有人可以通过

${url}

传递恶意参数，关闭标记并生成js

utext

可以做任何事情

---

最好的解决方案是什么？

也许最好将

单击
分成两个消息字符串

message.click=Click
message.here=here

<sapn th:text="#{message.click}"/> <a th:href="@{/here}" th:text="#{message.here}"></a>

消息。单击=单击
message.here=这里
对于这个简单的示例，它是有效的。但在某些情况下，句子中的单词顺序很重要（不同语系），翻译为“点击此处”。
<span th:utext="#{messages.click_here(${url})}"></span>

message.click=Click
message.here=here

<sapn th:text="#{message.click}"/> <a th:href="@{/here}" th:text="#{message.here}"></a>