如何确保模板引擎在PHP注入

我目前正试图在PHP中创建一个简单的模板引擎。我主要关心的是安全性，而模板教程不关心。假设我有一个包含用户名和他的描述的数据库表。用户可以在那里输入任何他想要的。

我的猜测是使用htmlspecialchars()函数，以防止javascript和html注入。但是"模板代码注入"呢?如果我的模板规则是将[@key]替换为"value"，用户可以更新他的描述，这将干扰我的模板处理程序。当使用set方法时，我应该将"["，"@"，"]"视为特殊字符并将它们替换为它们的ascii码吗?

template.php:

class Template {
    protected $file;
    protected $values = array();
    public function __construct($file) {
        $this->file = $file;
    }
    public function set($key, $value) {
        $this->values[$key] = $value;
    }
    public function output() {
        if (!file_exists($this->file)) {
            return "Error loading template file ($this->file).";
        }
        $output = file_get_contents($this->file);
        foreach ($this->values as $key => $value) {
            $tagToReplace = "[@$key]";
            $output = str_replace($tagToReplace, $value, $output);
        }
        return $output;
    }
}

example.tpl:

用户名:[@ name]
关于我:[@info]

index . php:

include 'template.php';
$page = new Template('example.tpl');
$page->set('info', '[@name][@name][@name]I just injected some code.');
$page->set('name', 'Tom');
echo $page->output();

显示:

用户名:汤姆关于我:TomTomTomI刚刚注入了一些代码。

我使用的代码是基于:

http://www.broculos.net/2008/03/how-to-make-simple-html-template-engine.html

public function output() {
    if (!file_exists($this->file)) {
        return "Error loading template file ($this->file).";
    }
    $output = file_get_contents($this->file);
    $keys = array_keys($this->values);
    $pattern = '$'[@(' . implode('|', array_map('preg_quote', $keys)) . ')']$';
    $output = preg_replace_callback($pattern, function($match) {
        return $this->values[$match[1]];
    }, $output);
    return $output;
}

foreach ($this->values as $key => $value) {
    $tagToReplace = "[@$key]";
    if (strpos($output, "[@$value]") !== FALSE)
      $value = '['.substr($value,1,-1).']';
    $output = str_replace($tagToReplace, $value, $output);
}