Django关闭autoescape后自定义过滤器仍显示HTML标签且mark_safe失效

排查步骤 #

• 首先修正过滤器中HTML字符串的写法
  你当前构造badge变量时使用了转义后的HTML实体<、"，而非直接写原生符号。哪怕加了mark_safe、开启autoescape off，这类实体编码的内容输出到浏览器也会被识别为普通文本而非HTML标签，这是你看到原始标签直接展示的核心原因。
  修正后的代码如下：

def into_bs_badge(value):
    # 直接写原生HTML符号，不要用转义实体
    badge = '<span class="badge badge-primary">' + str(value) + '</span>'
    return mark_safe(badge)

• 确认templatetags目录结构符合Django要求
  过滤器代码必须放在已在settings.py的INSTALLED_APPS中注册的应用下的templatetags目录中，且该目录必须包含空的__init__.py文件，示例结构如下（假设你存放过滤器的文件名为custom_filters.py）：

your_registered_app/
    __init__.py
    models.py
    views.py
    templatetags/
        __init__.py
        custom_filters.py

• 确认模板顶部正确加载自定义过滤器
  在使用该过滤器的模板文件最顶部，必须添加对应加载语句，替换为你自己的过滤器文件名即可：

{% load custom_filters %}

未正确加载过滤器时，对应逻辑不会生效，甚至会返回空内容，这是你加了mark_safe后页面无内容的常见原因。

• 冗余逻辑清理
  过滤器中用mark_safe标记返回值后，Django默认不会对该内容做转义，不需要在模板外层额外套{% autoescape off %}，避免引入不必要的XSS风险。

• 额外样式排查
  确认页面已经正确引入Bootstrap的CSS文件，否则就算标签渲染正常，也不会展示预期的徽章样式。

内容的提问来源于stack exchange，提问作者Manza