Я полагаю, что это функция, где вы должны доверять своим пользователям.С моей точки зрения, вы не можете дезинфицировать такую разметку - слишком много способов внедрить вредоносный код.(См. Книгу «Написание безопасного кода»)
Когда дело доходит до OWASP, вам всегда нужно анализировать угрозу: насколько вероятна атака и сколько вреда можно нанести.Если только администраторы (которым вы доверяете) имеют доступ к этому механизму шаблонов, то я предполагаю, что риск невелик.
В противном случае вам придется создавать генератор шаблонов вместо шаблонов произвольной формы.Но даже это звучит из вашего описания как большое усилие, так как вам понадобится построитель SQL-запросов и какой-нибудь конструктор шаблонов.
Так что, я думаю, вы должны попытаться переопределить требование таким образом, чтобы безопасныйреализация возможна.