String.Template: имена в прост текстов шаблон

Полезно е да знаеш

string.Template използва означения като $name за текстова замяна. substitute() очаква необходимите стойности; safe_substitute() може да остави непопълнените означения в резултата. [1]

Думата safe не означава безопасен HTML или SQL. Това е различно поведение при липсващи стойности, а не защита на всяка следваща употреба. Избирай отделно подходящо екраниране или параметризиране според мястото, където текстът ще бъде използван.