这基本上取决于谁在做翻译，以及他有多值得信任，就好像你不会过滤掉东西一样。译者可以添加JS代码，仍然是cookies等等。

在大多数翻译完成的地方，你无论如何都会打电话到esc_html 或esc_attr 这将缓解问题，但很明显，如果您需要实际链接，则无法使用这些功能。使用wp_kses 只是要确保翻译中没有意外。

例如，没有什么可以阻止翻译人员进行翻译__(\'Hi there) 进入Hi there <script>alert(\'evil laugh\')</script>. 当翻译人员提交翻译时，从来没有验证过不包含此类内容，虽然示例很容易捕捉，但可能会做更复杂、更难发现的事情。