安全和嗅探未转义的输出工具？

Question

我将Timber / Twig用于WordPress，并运行PHPCS检查未转义的输出。但是，输出发生在.twig文件中，因此未标记未转义的输出。我看过twigcs，但它似乎更多是关于格式化而不是安全性。

有没有可以为我标记的工具？

坏：<p>Hi, my name is {{ user.firstname }}</p>

好：<p>Hi, my name is {{ user.firstname|e('html')}}</p>

我知道有自动转义选项，但是目前这不是可行的解决方案。