当在Django模板中通过变量动态渲染Google Maps嵌入链接时，因HTML实体&未被自动解码导致URL失效，浏览器拒绝加载iframe；而硬编码时HTML解析器会自动转换&为&，故正常显示。
当在django模板中通过变量动态渲染google maps嵌入链接时，因html实体`&`未被自动解码导致url失效，浏览器拒绝加载iframe；而硬编码时html解析器会自动转换`&`为`&`，故正常显示。
在Django项目中使用Google Maps嵌入iframe时，一个常见却容易被忽视的问题是：硬编码的src能正常加载地图，但将完全相同的URL字符串作为上下文变量传入模板后，iframe却报错“X-Frame-Options拒绝嵌入”或类似安全警告（如Firefox提示“另一个网站嵌入了该页面，出于安全原因被阻止”）。
根本原因在于 HTML解析与Django模板渲染的差异：
-
在HTML源码中，& 是 & 的转义形式，浏览器在解析HTML时会自动将其还原为 &，因此硬编码的URL：
src="https://maps.google.com/maps?q=-28.4457436,21.268374&hl=en&z=14&output=embed"
实际被解析为：
https://maps.google.com/maps?q=-28.4457436,21.268374&hl=en&z=14&output=embed
-
而Django模板变量 {{ maps_link }} 默认以安全转义模式渲染：它原样输出字符串内容，不会对&做HTML解码。若数据库字段 obj.location_link 存储的是已包含 & 的HTML实体字符串（例如从富文本编辑器或旧系统导入），则模板中直接插入后，浏览器收到的URL仍是：
https://maps.google.com/maps?q=...&z=14&output=embed
这是一个非法的URL参数（& 不会被识别为参数分隔符），导致Google Maps服务返回错误响应，进而触发浏览器的X-Frame保护策略。
✅ 正确解决方案是在视图层预处理URL，将HTML实体 & 显式还原为 &：
# views.py
from django.shortcuts import render, get_object_or_404
from django.template import loader
from django.http import HttpResponse
def detail(request, database_reference):
obj = get_object_or_404(Consolidated, database_reference=database_reference)
# 关键修复：清理URL中的HTML实体
maps_url = obj.location_link
if isinstance(maps_url, str):
maps_url = maps_url.replace('&', '&') # 替换所有 & → &
context = {
"content": content_list,
"maps_link": maps_url
}
template = loader.get_template("home/detailview.html")
return HttpResponse(template.render(context, request))
⚠️ 注意事项：
- 不要使用 |safe 模板过滤器强行绕过转义（如 {{ maps_link|safe }}），这存在XSS风险，且无法解决&解码问题；
- 确保数据库中存储的URL格式规范，理想情况应直接存原始URL（不含HTML实体），但若历史数据已污染，则视图层清洗是最安全、可控的补救方式；
- 可进一步增强健壮性，使用 html.unescape() 处理更复杂的转义（如 <, "），但针对Google Maps嵌入，replace('&', '&') 已足够精准；
- 验证修复效果：在模板中添加调试输出
{{ maps_link }}，确认渲染出的URL中已无 &，仅含标准 &。
最终，你的模板保持简洁清晰：
{% if maps_link %}
<iframe src="%7B%7B%20maps_link%20%7D%7D" width="100%" height="450" loading="lazy" referrerpolicy="no-referrer-when-downgrade" frameborder="0"></iframe>
{% endif %}
这一处理既符合Django的安全设计原则，又精准解决了因HTML实体导致的嵌入失效问题，确保动态地图链接稳定可靠地呈现。
