1 概念与定义
1.1 基本含义
模板注入是指攻击者将可被模板引擎解释的内容混入输入数据，使程序在渲染模板时把原本应作为普通文本处理的信息当作模板语法执行。其结果通常表现为页面内容被改写、敏感信息被读取，或在特定条件下进一步触发更严重的安全后果。
这一问题本质上源于“数据”和“代码”边界被模糊化：系统本应只接受文本变量，却将外部输入直接送入模板解析流程，导致攻击者能够影响渲染逻辑。由于模板引擎常用于网页、邮件、报表和通知消息等场景，因此此类漏洞具有较强的普遍性。
1.2 与其他注入类漏洞的区别
模板注入与 SQL 注入、命令注入等同属注入类问题，但作用目标不同。SQL 注入针对数据库查询语句，命令注入针对操作系统命令，而模板注入影响的是模板解释器及其表达式求值过程。攻击者不一定需要直接接触底层系统，只要能控制进入模板的内容，就可能改变输出结果。
与跨站脚本攻击相比，模板注入更强调在服务端或渲染层面执行模板语法，而不是在浏览器端执行脚本。两者有时会相互关联，但触发路径、危害范围和防护方式并不完全相同。
1.3 常见出现场景
模板注入通常出现在需要动态生成内容的系统中，尤其是把用户输入、配置项或外部数据拼接进模板的应用。常见场景包括网页渲染、自动通知、批量生成文档以及后台管理页面中的可编辑模板功能。
1.3.1 服务端模板渲染
服务端模板渲染是最常见的出现形式。应用在服务器端将变量填入 HTML、文本或配置模板，再把渲染结果返回给客户端。如果输入未被正确处理，攻击者可能借助模板语法干扰页面输出，甚至探测模板引擎的能力边界。
1.3.2 客户端动态渲染
在客户端模板中，浏览器脚本会根据数据动态生成界面内容。若前端框架或自定义模板引擎将不可信字符串作为模板片段执行，就可能造成页面结构异常、脚本逻辑被篡改或信息被错误呈现。
1.3.3 邮件与报表生成
邮件正文、账单、统计报表和通知消息常依赖模板自动生成。此类系统往往强调格式统一，却容易忽视输入净化问题。攻击者如果能够控制某些字段，可能使输出内容偏离预期，或者把敏感内部信息带入最终文档。
2 形成原理
2.1 模板引擎的工作机制
模板引擎的核心作用是把预定义的模板与数据绑定后生成最终内容。其一般流程包括读取模板、解析语法、计算表达式、替换变量并输出结果。安全风险通常产生于解析阶段与求值阶段之间的边界控制不足。
2.1.1 变量替换
变量替换用于将数据值插入模板中的指定位置。正常情况下，它只负责展示数据本身；但如果输入中包含模板保留字符，且系统未进行转义或隔离，解析器便可能把这些字符当作语法的一部分处理。
2.1.2 条件判断与循环
许多模板引擎支持条件分支和循环结构，以便生成更灵活的页面。攻击者若能影响这些结构中的表达式内容，就可能改变页面逻辑、绕过显示限制，或在某些实现中触发非预期的对象访问。
2.1.3 过滤器与函数调用
为了增强表达能力，模板常提供过滤器、格式化函数或辅助方法。若这些能力对外暴露过多，输入就不再只是数据，还可能被组合成复杂表达式。此时，模板引擎的功能越强，攻击面往往也越大。
2.2 代码与数据混淆
模板注入最典型的成因，是开发过程中未能清晰区分“模板代码”与“用户数据”。如果系统把可控内容直接拼接进模板源文件，或者在渲染前再次解析用户提供的文本，就容易把普通字符串提升为可执行片段。
这种混淆常见于快速开发、临时修补或自定义渲染逻辑中。表面上看，程序只是“替换文本”，实际上却让攻击者获得了干预模板解释器的机会。
2.3 输入未受控的风险
凡是进入模板引擎的外部输入，都应视为潜在风险源。若缺乏长度限制、字符过滤、上下文转义或白名单校验，攻击者就可能利用特殊符号构造表达式，观察回显并逐步扩大影响。风险并不局限于明显的表单输入，也可能来自数据库字段、接口响应、文件内容或第三方同步数据。
3 漏洞类型
3.1 直接模板注入
直接模板注入是指攻击者能够直接向模板输入点提交恶意内容，并立即影响渲染结果。这类情形通常最容易复现，因为输入路径清晰，测试者可通过构造特殊字符观察页面是否出现异常行为。
3.2 间接模板注入
间接模板注入是指攻击者并非在当前请求中直接提交模板语法，而是先把恶意内容写入数据库、配置文件或其他持久化位置，待系统在后续流程中取出并渲染。由于攻击载体经过了存储和转发，其发现难度往往更高，影响也更隐蔽。
3.3 本地与远程模板注入
本地模板注入通常发生在应用读取本地文件、缓存或内部配置时，将其中的可控内容再次送入模板处理流程。远程模板注入则多与外部接口、在线编辑、同步服务或第三方数据源相关，攻击者可借由网络输入影响模板执行。
3.4 服务端模板注入
服务端模板注入是较受关注的一类，因为模板在服务器端执行，风险通常先于返回页面产生。攻击者如果能控制表达式，可能不仅改变页面内容，还能借助模板引擎的内部能力探测运行环境。
3.4.1 仅影响输出的情况
较轻的情形是攻击仅改变页面显示，例如插入多余文本、隐藏部分内容或打乱版式。虽然表面影响有限，但它往往说明模板边界已经被突破，是后续深层问题的预警信号。
3.4.2 进一步扩大影响的情况
在能力较强或配置不当的模板环境中，攻击者可能借助对象访问、函数调用或上下文泄露获取更多信息。若应用又存在过度授权、调试模式开启或危险接口暴露，影响便可能从输出篡改扩展到更严重的系统层面问题。
4 影响与危害
4.1 页面内容篡改
最直接的后果是页面输出被修改。攻击者可以插入虚假信息、替换原文、干扰布局，甚至制造“看似正常但内容错误”的页面效果，影响用户对系统的信任。
4.2 敏感信息泄露
模板引擎常能访问上下文变量、请求信息、配置参数或环境数据。若攻击者能够利用模板表达式读取这些内容，就可能暴露用户资料、内部路径、调试信息或其他不应公开的数据。
4.3 逻辑绕过
模板注入有时会改变条件判断结果，或者使某些字段显示与隐藏状态发生偏移。这样一来，原本依赖模板控制的页面逻辑、提示信息或前端限制可能被绕过。
4.4 权限提升风险
若模板上下文中包含身份对象、会话信息或管理功能相关变量，攻击者可能借助注入探知更高权限的数据结构，进而辅助越权操作。虽然权限提升通常需要配合其他漏洞，但模板注入可作为重要的突破口。
4.5 远程代码执行风险
在少数设计不安全或功能暴露过度的模板环境中，模板表达式可能触达足够强的执行能力，最终引发远程代码执行风险。这类情况通常依赖特定语言、框架配置或错误使用方式，并非所有模板注入都会走到这一步。
4.6 横向影响与连锁问题
模板注入还可能影响日志、邮件、缓存、消息队列或报表系统等周边组件。一个看似局部的渲染问题，可能在自动化流程中被反复传播，形成连锁性的内容污染和数据泄露。
5 攻击特征
5.1 常见输入表现
常见异常输入表现包括出现模板保留符号、表达式标记或明显不属于正常文本的结构。某些测试字符串会在页面中被原样显示，而另一些则可能被解析后产生意外结果，这通常提示系统存在可疑的模板处理路径。
5.2 输出异常迹象
若页面出现变量值错位、格式错乱、局部内容消失或响应与输入不一致，往往值得进一步排查。尤其当不同输入在同一位置产生明显不同的渲染行为时，更应考虑模板注入的可能性。
5.3 错误信息泄露
模板引擎在解析失败时，有时会返回语法错误、堆栈信息或对象路径提示。这些错误内容虽然对开发调试有帮助，但也可能向攻击者暴露引擎类型、版本特征和上下文结构，增加后续探测效率。
5.4 盲注与回显差异
有些模板注入会直接把结果显示在页面上，便于观察；有些则不会显式回显，只能通过响应长度、渲染时间或异常行为判断是否命中。前者更直观，后者更隐蔽，但都可能成为攻击验证的线索。
5.5 探测与验证思路
验证时通常从无害的模板特征入手，观察输入是否被解释、输出是否发生结构变化、错误信息是否外泄，以及不同上下文下是否存在一致的解析行为。安全测试应避免破坏性操作，并尽量在授权环境中完成。
6 常见受影响对象
6.1 Web 应用
各类网站和在线服务都可能受影响，尤其是包含用户昵称、评论、个人资料、搜索结果或通知消息渲染的系统。凡是有“输入后生成页面”的地方，都值得注意。
6.2 CMS 与博客系统
内容管理系统和博客平台常支持主题模板、文章变量和插件扩展。若编辑权限、主题配置或自定义字段处理不当，攻击者可能借由内容输入影响模板执行。
6.3 电商与表单系统
电商平台中的订单备注、地址字段、客服消息，以及表单系统中的标题、描述和结果页，都是高频输入点。由于这些字段往往被自动拼装进邮件、后台页面或凭证文档中，风险较为集中。
6.4 API 网关与后台管理界面
API 网关、后台面板和运维控制台常将外部数据做格式化展示。若这些页面中存在模板化输出或自定义告警模板，模板注入可能影响管理视图并干扰运维判断。
6.5 自动化通知与文档生成服务
自动化通知系统、工单流转工具、批量文档生成平台等，普遍依赖模板拼接内容。此类服务往往对格式准确性要求较高，但对输入安全性关注不足，因此成为常见受影响对象。
7 识别与检测
7.1 代码审计
代码审计是发现模板注入的重要手段，重点查看模板渲染前后的数据流向，确认是否存在可控输入进入模板源或表达式求值的情况。审计时应结合框架特性、调用链和上下文对象一起分析。
7.1.1 高风险拼接点
高风险位置通常包括字符串拼接生成模板、动态选择模板片段、将请求参数直接插入渲染语句，以及把数据库内容二次送入模板解析的代码段。这些地方最容易把数据误当成代码处理。
7.1.2 用户输入进入模板的位置
需要重点追踪用户输入从接口、表单、文件或消息队列进入模板的路径。如果输入在中间经过了多层封装、转发或缓存，也要确认每一层是否仍保持“纯数据”属性。
7.2 动态测试
动态测试通过向可疑输入点提交特征性内容，观察页面回显、结构变化和错误表现，从而判断模板是否将输入解释为语法。测试应控制影响范围，并优先使用低风险验证方法。
7.2.1 语法特征探测
可通过构造具有模板特征的字符组合，检测系统是否会对这些字符产生特殊处理。若输入在不同位置出现不一致解析或被部分执行，通常说明存在可疑行为。
7.2.2 回显与异常观察
关注响应内容是否发生意外扩展、截断、重排或报错。若同样的输入在不同页面产生不同表现，往往意味着上下文处理不一致，这也是漏洞定位的重要线索。
7.3 日志与监控
日志和监控能帮助发现批量探测、异常渲染和模板错误高发等现象。对于渲染链路较长的系统，监控数据往往能比单次请求更早暴露问题。
7.3.1 异常渲染记录
记录渲染失败、内容长度异常、模板替换次数异常增加等现象，有助于快速定位问题输入。若某些字段在短时间内反复触发异常，应提高警惕。
7.3.2 模板执行错误告警
当模板引擎返回语法错误、表达式求值错误或对象访问失败时，系统应能及时告警。完善的告警机制不仅有助于排障，也能在攻击早期提供预警。
8 防护措施
8.1 安全编码原则
防护模板注入的基础，是在设计阶段就明确模板与数据的边界。开发者应尽量避免把外部输入直接作为模板代码处理，并在所有输出路径上维持一致的安全策略。
8.1.1 数据与模板分离
应将模板文件固定化，把用户输入作为变量绑定，而不是动态拼接模板语句。这样可以显著降低输入被解释为代码的概率，也便于后续审计和维护。
8.1.2 输出编码与上下文转义
在不同输出上下文中采用匹配的编码与转义方式，避免特殊字符进入模板后被错误解析。文本、HTML、属性值、脚本片段等上下文应分别处理，不宜使用单一通用方案。
8.2 模板引擎安全配置
许多模板引擎提供安全模式、白名单机制或表达式限制选项。合理配置这些能力，可以减少危险函数暴露并降低可利用面。
8.2.1 禁用危险函数
对于不必要的文件读写、命令调用、反射或动态加载能力，应尽量禁用。功能越少，攻击者可利用的路径通常越窄。
8.2.2 限制表达式能力
应限制模板中可使用的对象、方法和运算能力，避免把复杂逻辑暴露给可控输入。对于普通展示场景，过强的表达能力往往弊大于利。
8.2.3 启用沙箱机制
沙箱能对模板执行环境进行隔离，限制对外部资源和敏感对象的访问。虽然沙箱并非绝对防护，但在高风险场景中具有重要价值。
8.3 输入校验与净化
对所有进入渲染链路的输入实施长度、格式、字符集和内容合法性检查，能够减少恶意语法混入的机会。对于富文本、备注和自由描述字段，更应结合白名单净化策略处理。
8.4 最小权限原则
渲染进程、模板服务和相关账户应只拥有必要权限，避免一旦发生注入就能访问过多资源。权限边界越清晰，问题扩散范围通常越可控。
8.5 安全测试与代码审查
在上线前进行专门的模板安全测试，并把模板渲染逻辑纳入代码审查重点。对于新增模板功能、动态字段和自定义表达式扩展，应建立更严格的评审流程。
9 修复与加固
9.1 紧急处置
发现疑似模板注入后，应先限制可疑输入来源，必要时临时关闭相关动态模板功能，并保留日志与请求样本。若系统已出现异常渲染，应优先阻断继续传播的路径。
9.2 漏洞修复流程
修复时应从数据流和渲染链路两侧同时处理：改正拼接方式、恢复模板与数据分离、补充转义与校验，并确认所有相关调用点已同步修正。修复完成后需要重新验证原问题是否真正消失。
9.3 版本升级与补丁管理
如果漏洞源于模板引擎自身缺陷或框架默认配置不安全，应及时升级到受支持版本，并关注安全公告中的修补说明。版本升级后，还需检查配置变更是否引入新的兼容性问题。
9.4 依赖库排查
许多模板风险并不直接出现在主业务代码，而是隐藏在第三方组件、插件或封装库中。排查依赖时，应确认这些库是否进行了二次解析、动态执行或不安全的转义处理。
9.5 回归测试与验证
修复后要进行回归测试，确认原有功能正常且恶意输入不再产生模板解释效果。对关键页面、通知和报表流程进行专项验证，可以降低漏修风险。
10 相关概念
10.1 注入类漏洞
注入类漏洞是指攻击者将恶意内容注入到系统的可执行上下文中，从而改变程序行为的一类问题。模板注入是其中较典型的一支。
10.2 XSS
XSS 主要发生在浏览器端脚本执行环境中，而模板注入更侧重于模板渲染阶段。二者都与输出处理有关，但攻击位置和防护策略存在差异。
10.3 SQL 注入
SQL 注入利用的是数据库查询语句的解析机制，目标是数据库引擎。模板注入则针对模板引擎，两者都强调输入不应被当作代码执行。
10.4 命令注入
命令注入发生在程序把用户输入拼入系统命令并交给操作系统执行时。与之相比，模板注入通常先影响内容生成，是否进一步危及底层系统取决于具体实现。
10.5 代码执行漏洞
代码执行漏洞泛指能使攻击者执行非预期代码的安全缺陷。模板注入在某些条件下可能成为代码执行的前置环节，但并不总会直接发展到这一程度。
11 典型案例与讨论
11.1 漏洞披露案例
在安全研究与漏洞披露中，模板注入常被用于说明“输出层与解析层混淆”的风险。许多案例表明，哪怕只是一个看似普通的昵称、标题或备注字段，也可能成为触发点。
11.2 安全研究中的常见误区
常见误区包括把所有模板异常都视为高危、忽视上下文差异、以及只关注单一页面而忽略全站复用模板的情况。事实上，模板注入的严重程度高度依赖引擎能力、配置方式和暴露面。
11.3 开发者常见错误实践
开发者常见错误包括动态拼接模板字符串、在调试环境下保留过多表达式能力、把用户输入当作模板片段复用，以及忽视错误信息中的敏感细节。这些做法都会放大攻击面。
11.4 安全社区中的防护建议
安全社区普遍建议将模板视为受信任代码，把外部输入严格限制在数据层面处理；同时通过沙箱、最小权限、上下文转义和代码审查形成组合防线。对高风险系统而言，默认安全配置与持续测试同样重要。