如果执行任何服务器端插值，唯一正确的方法是使用<>

$interpolateProvider.startSymbol('<{').endSymbol('}>');

其他任何向量都是XSS向量。

这是因为任何没有被Django转义的Angular分隔符都可以被用户输入到插入的字符串中;如果有人将他们的用户名设置为“{{evil_code}}”，Angular会很乐意运行它。但是，如果您使用的字符没有被Django转义，则不会发生这种情况。

我们在Django 'ng'中创建了一个非常简单的过滤器，可以很容易地混合这两者:

foo.html:

...
<div>
  {{ django_context_var }}
  {{ 'angularScopeVar' | ng }}
  {{ 'angularScopeFunction()' | ng }}
</div>
...

ng过滤器看起来是这样的:

from django import template
from django.utils import safestring

register = template.Library()


@register.filter(name='ng')
def Angularify(value):
  return safestring.mark_safe('{{%s}}' % value)

对于Angular 1.0，你应该使用$interpolateProvider api来配置插值符号:http://docs.angularjs.org/api/ng.$interpolateProvider。

像这样的东西应该可以达到目的:

myModule.config(function($interpolateProvider) {
  $interpolateProvider.startSymbol('{[{');
  $interpolateProvider.endSymbol('}]}');
});

请记住两件事:

混合服务器端和客户端模板很少是一个好主意，应该谨慎使用。主要问题是:可维护性(难以阅读)和安全性(双插值可能会暴露一个新的安全向量——例如，服务器端和客户端模板本身的转义可能是安全的，但它们的组合可能不安全)。 如果你开始使用在模板中使用{{}}的第三方指令(组件)，那么你的配置将破坏它们。(修复等待)

虽然我们对第一个问题无能为力，除了警告人们，但我们确实需要解决第二个问题。

你总是可以使用ng-bind而不是{{}} http://docs.angularjs.org/api/ng/directive/ngBind

<span ng-bind="name"></span>

我会坚持使用一个解决方案，既使用django标签{{}}，也使用angularjs{{}}，并使用一个逐字section或templatetag。

这只是因为你可以通过$interpolateProvider改变angularjs的工作方式(如上所述)。startSymbol interpolateProvider美元。但是如果你开始使用其他angularjs组件，比如ui-bootstrap，你会发现一些模板已经用标准angularjs标签{{}}构建了。

例如，查看https://github.com/angular-ui/bootstrap/blob/master/template/dialog/message.html。

我发现下面的代码很有用。我在这里找到了代码:http://djangosnippets.org/snippets/2787/

"""
filename: angularjs.py

Usage:
    {% ng Some.angular.scope.content %}

e.g.
    {% load angularjs %}
    <div ng-init="yourName = 'foobar'">
        <p>{% ng yourName %}</p>
    </div>
"""

from django import template

register = template.Library()

class AngularJS(template.Node):
    def __init__(self, bits):
        self.ng = bits

    def render(self, ctx):
        return "{{%s}}" % " ".join(self.ng[1:])

def do_angular(parser, token):
    bits = token.split_contents()
    return AngularJS(bits)

register.tag('ng', do_angular)