| 形式 | 占位符替换（format / 模板引擎） |
|---|---|
| 风险 | 变量含花括号或指令文本 |
| 防护 | 变量值用分隔符包裹，替换后校验 |
| 测试 | 用恶意与空值样本跑模板边界 |
模板与注入（Python 示例）
模板与注入（Python 示例）
PROMPT = "按 {style} 风格改写：<text>{text}</text>"
msg = PROMPT.format(style="正式商务", text=user_input)
# 注意：user_input 里出现花括号会让 format 报错，先转义或改用安全模板引擎把变量包进 XML 标签（如上例 <text>）可显著降低变量内容被当成指令执行的概率。