我在Django 2.1中使用这种方法，对我来说，这种方法是安全的(参考):

Django身边:

def age(request):
    mydata = {'age':12}
    return render(request, 'test.html', context={"mydata_json": json.dumps(mydata)})

Html:

<script type='text/javascript'>
     const  mydata = {{ mydata_json|safe }};
console.log(mydata)
 </script>

{{variable}}被直接替换到HTML中。做一个查看源码;它不是一个“变量”或类似的东西。它只是渲染文本。

话虽如此，您可以在JavaScript中加入这种替换。

<script type="text/javascript"> 
   var a = "{{someDjangoVariable}}";
</script>

这为您提供了“动态”javascript。

我发现我们可以这样传递Django变量到javascript函数:-

<button type="button" onclick="myJavascriptFunction('{{ my_django_variable }}')"></button>
<script>
    myJavascriptFunction(djangoVariable){
       alert(djangoVariable);
    }
</script>

从Django 2.1开始，专门为这个用例引入了一个新的内置模板标记:json_script。

https://docs.djangoproject.com/en/stable/ref/templates/builtins/#json-script

新标记将安全地序列化模板值并防止XSS。

Django文档摘录:

安全地将Python对象输出为JSON，并封装在标签中， 可以与JavaScript一起使用。

对于字典，最好先编码成JSON。你可以使用simplejson.dumps()，或者如果你想从App Engine中的数据模型转换，你可以使用GQLEncoder库中的encode()。

我在Django 2.1中使用这种方法，对我来说，这种方法是安全的(参考):

Django身边:

def age(request):
    mydata = {'age':12}
    return render(request, 'test.html', context={"mydata_json": json.dumps(mydata)})

Html:

<script type='text/javascript'>
     const  mydata = {{ mydata_json|safe }};
console.log(mydata)
 </script>