Go 的 html/template 包默认会对所有动态内容进行 HTML 转义以防止 XSS 攻击。当需要渲染信任的原始 HTML 内容时，应使用 template.HTML 类型来指示模板引擎跳过转义。对于源数据中已包含 HTML 实体转义的内容，还需要先进行反转义处理，才能正确显示为“常规”HTML。
引言与问题背景
在使用 go 语言的 html/template 包构建 web 应用时，一个常见的需求是将包含 html 标签的字符串作为数据传递给模板进行渲染。然而，html/template 出于安全考虑，默认会将所有传入的字符串内容进行 html 转义。这意味着像
hello
这样的字符串在模板中可能会被渲染成
Hello
，导致 HTML 标签无法正常解析，而是以纯文本形式显示。
例如，在处理 RSS 订阅源时，description 字段通常包含格式化的 HTML 内容。如果直接将其作为 string 类型传递给 Go 模板，模板引擎会将其中的 、” 等特殊字符转义为 、” 等 HTML 实体。更复杂的情况是，如果 RSS 源本身提供的 description 内容就已经包含了 HTML 实体转义（如
而不是
），那么在模板中直接使用 template.HTML 也无法直接解决问题，因为 template.HTML 只是阻止模板引擎进行 额外 的转义，而不会反转义已存在的 HTML 实体。
本文将详细探讨 html/template 的安全机制，并提供一个完整的解决方案，包括如何使用 template.HTML 类型以及如何处理源数据中已存在的 HTML 实体转义，以确保原始 HTML 内容能够正确渲染。
html/template 的安全设计
html/template 包的设计核心是安全性，它旨在防止跨站脚本（XSS）攻击。XSS 攻击通常发生在用户输入被不加区分地直接插入到 HTML 页面中，恶意脚本可能因此被执行。为了避免这种情况，html/template 默认会对所有通过数据管道（pipeline）传入的字符串内容进行上下文敏感的自动转义。这意味着，无论字符串是来自数据库、文件还是用户输入，它都会被视为潜在的非信任数据，并进行适当的转义，以确保其作为纯文本而不是可执行代码或结构化标记插入到 HTML 中。
这种默认的安全策略对于大多数场景都是非常有益的，因为它大大降低了 XSS 漏洞的风险。然而，当开发者明确知道某些内容是安全的、且需要作为原始 HTML 进行渲染时，这种默认转义行为就成了障碍。
立即学习“前端免费学习笔记（深入）”；
解决方案：使用 template.HTML 类型
Go 语言的 html/template 包提供了一系列特殊的类型，用于指示模板引擎该内容是安全的，可以跳过默认的 HTML 转义。其中，template.HTML 类型专门用于标记那些已知为安全且应作为原始 HTML 渲染的字符串。
要在vscode里打造舒服又高效的markdown写作环境，答案是通过安装核心扩展并进行个性化配置来实现；需安装markdown all in one、markdown preview enhanced、prettier和paste image等扩展，结合settings.json中的编辑器设置、自…
安装Rust Analyzer扩展是VS Code配置Rust开发环境的核心，它提供语法高亮、智能补全、错误提示、定义跳转、Cargo集成等功能，并通过本地中文文档组件支持中文提示，实现开箱即用的高效开发体验。 VS Code配置Rust开发环境，尤其是要兼顾中文文档、语法高亮和Cargo项目管理，…
大家好，我是飞哥！ 在 Linux 上通过 veth 我们可以创建出许多的虚拟设备。通过 Bridge 模拟以太网交换机的方式可以让这些网络设备之间进行通信。不过虚拟化中还有很重要的一步，那就是隔离。借用 Docker 的概念来说，那就是不能让 A 容器用到 B 容器的设备，甚至连看一眼都不可以。只…
微信扫一扫 
支付宝扫一扫 
