Template :: Toolkit Должно быть в порядке, если вы ограничиваете параметры, передаваемые в шаблон.Если вы передадите классы, шаблоны смогут вызывать любой метод для этих классов, а также любой метод для возвращаемых значений этих классов и т. Д. Гораздо лучше передавать только хэши.
HTML:: Template также является хорошим вариантом, и по умолчанию он допускает только хэши, так что вы с гораздо меньшей вероятностью оставите открытым отверстие, позволяющее авторам шаблона выполнять произвольный код.
В любом случае, сделайтеубедитесь, что вы прочитали документацию для всего, что вы используете, и очистите вывод, чтобы предотвратить атаки сценариев между сайтами.Не полагайтесь на людей, настраивающих шаблоны для получения правильной выходной кодировки.