Lösung 3

• Template per Default escapen lassen

• HTML::Template und HTML::Template::Compiled bieten die Option default_escape => 'HTML'

• Alles wird automatisch escaped

• Wo man es nicht möchte, sagt man im Template: <tmpl_var foo escape=0>

• Man kann nachts wieder ruhig schlafen