Django模板中直接硬编码Google Maps iframe的src能正常显示，但通过上下文变量传递相同URL却触发浏览器X-Frame-Options拦截——根本原因是HTML实体&在模板渲染时未被自动解码，导致URL中残留未解析的&而非标准&，从而构造出非法URL。
django模板中直接硬编码google maps iframe的src能正常显示，但通过上下文变量传递相同url却触发浏览器x-frame-options拦截——根本原因是html实体`&`在模板渲染时未被自动解码，导致url中残留未解析的`&`而非标准`&`，从而构造出非法url。
在Django模板中，硬编码的字符串（如
而通过上下文变量（如 {{ maps_link }}）传入的字符串，Django默认对其执行HTML转义（autoescape），以防止XSS攻击。此时若原始字符串已包含 &（例如数据库中存储为HTML实体格式），Django不会进一步解码它——& 会原样输出为字面量 &，导致实际请求的URL变成：
https://maps.google.com/maps?q=-28.4457436,21.268374&hl=en&z=14&output=embed
该URL中的 & 不被浏览器识别为参数分隔符，使Google Maps服务拒绝嵌入，返回“X-Frame-Options拒绝”错误。
✅ 正确解决方案是在视图层预处理URL，确保传递给模板的是已标准化的纯URL字符串（不含HTML实体）：
Google Veo 3.1
下载
Veo 3.1增强了音频生成能力、提示词理解能力和角色一致性控制。支持多参考图生成、场景扩展（Scene Extension）、更长视频制作以及更精准的镜头控制，同时提升了画面真实感和叙事能力。是当前 Google 主推的旗舰视频生成模型。
# views.py
from django.views.decorators.clickjacking import xframe_options_exempt
from django.http import Http404
from django.template import loader
@xframe_options_exempt
def detail(request, database_reference):
try:
obj = Consolidated.objects.get(database_reference=database_reference)
except Consolidated.DoesNotExist:
raise Http404("This database object does not exist: " + database_reference)
# 关键修复：将数据库中可能含 '&' 的URL标准化为合法URL
maps_url = obj.location_link.replace('&', '&') if obj.location_link else None
context = {
"content": content_list,
"maps_link": maps_url # 传递已清理的URL
}
template = loader.get_template("home/detailview.html")
return HttpResponse(template.render(context, request))
? 注意事项：
- @xframe_options_exempt 是必要的（Google Maps要求允许嵌入），但不能解决URL本身不合法的问题；
- 避免在模板中使用 |safe 过滤器强行绕过转义（如 {{ maps_link|safe }}），这存在XSS风险且不治本；
- 最佳实践是源头净化数据：在模型保存或API入库时即存储标准化URL（用 & 而非 &），而非依赖运行时替换；
- 可扩展增强鲁棒性：使用正则替换所有常见HTML实体（如 ", <），但对Google Maps URL，& → & 是核心修复点。
经此处理，{{ maps_link }} 渲染结果与硬编码完全一致，iframe将正常加载地图。
