CS50 2022 Flask课程：option的value属性双引号是否多余？

结论：包裹{{ sport }}的双引号绝对不是多余的，强烈建议保留，原因如下：

• 符合HTML标准语法：HTML规范明确要求属性值必须用单引号或双引号包裹，虽然现代浏览器有一定容错能力，能解析无引号的属性值，但这属于不规范写法，在老旧浏览器或复杂DOM场景下可能出现解析异常。
• 处理含特殊字符的变量值：如果sport的取值包含空格（比如"Rugby Union"）、特殊符号（比如"Table Tennis & Badminton"），去掉双引号后，HTML解析器会把空格/特殊符号后的内容识别为新的属性。比如value=Rugby Union会被解析成value="Rugby"，同时多出一个无意义的Union属性，完全偏离预期。
• 降低安全风险：即使当前场景下变量内容可控，保留引号也能配合Jinja2的自动转义机制，避免潜在的XSS注入风险。比如如果变量被恶意注入onclick="alert('xss')"这类内容，无引号包裹会直接触发恶意代码，而带引号时Jinja2会自动把特殊字符转义为实体（比如"转成"），阻断注入。

举个实际渲染的对比例子：
当sport的值为"Rugby Union"时：

• 带双引号的正确渲染结果：

  <option value="Rugby Union">Rugby Union</option>
  

• 不带双引号的错误渲染结果：

  <option value=Rugby Union>Rugby Union</option>
  

内容的提问来源于stack exchange，提问作者Đạt Phạm