Go语言的html/template包默认会对管道中的HTML内容进行转义，以防止跨站脚本（XSS）攻击。若需在模板中插入原始、未转义的HTML，应将对应的数据字段类型明确声明为template.HTML。这样，模板引擎会将其视为安全HTML，直接渲染到输出中，从而避免不必要的转义。
Go HTML 模板的默认转义行为
html/template 包是 go 语言标准库中用于生成 html 输出的强大工具。为了增强安全性，它默认会对所有通过管道（pipeline）插入到 html 模板中的数据进行自动转义。这意味着，如果你的数据中包含 、&、” 等 html 特殊字符，它们会被转换为对应的 html 实体（例如，
然而，在某些场景下，我们可能需要渲染已经确定是安全的、包含原始 HTML 标记的内容。例如，从可信源获取的富文本内容，或者由后端生成的已知安全片段。在默认的转义机制下，这些原始 HTML 会被错误地转义，导致在浏览器中显示为纯文本而非预期的 HTML 结构。
考虑以下 Go 代码和 HTML 模板示例，它从 RSS 源获取新闻描述并尝试在网页上显示：
Go 代码片段（main.go）：
package mainimport ( "fmt" "html/template" "log" "net/http")// Item 结构体，Description 字段目前是 string 类型type Item struct { Title string Link string Description string // 假设此字段可能包含原始HTML}func handler(w http.ResponseWriter, r *http.Request) { // 模拟从RSS源获取的数据 data := struct { ItemList []Item }{ ItemList: []Item{ { Title: "Go Template Example", Link: "http://example.com", // 这是一个包含原始HTML的Description字段 Description: "This is a rich text description with HTML tags.
立即学习“前端免费学习笔记（深入）”；
", }, { Title: "Another Article", Link: "http://another.com", Description: "Regular text description.", }, }, } tmpl, err := template.ParseFiles("index.html") if err != nil { http.Error(w, err.Error(), http.StatusInternalServerError) return } if err := tmpl.Execute(w, data); err != nil { http.Error(w, err.Error(), http.StatusInternalServerError) }}func main() { http.HandleFunc("/", handler) fmt.Println("Server listening on :8080") log.Fatal(http.ListenAndServe(":8080", nil))}
HTML 模板文件（index.html）：
News Feed Latest News
{{range .ItemList}}{{end}}{{.Title}}
{{.Description}}
当运行上述代码时，Description 字段中的原始 HTML 标记（如
, , ）会被转义，导致浏览器渲染时显示为字面量字符串，而不是格式化的 HTML。例如，
This is a rich text description…
会在页面上显示为
This is a rich text description…
。
解决方案：使用 template.HTML 类型
为了指示 html/template 包某个字符串是安全的，不应被转义，我们需要将其类型明确声明为 template.HTML。template.HTML 是 html/template 包提供的一个特殊类型，它告诉模板引擎该字符串内容已经被验证为安全，可以直接插入到 HTML 输出中。
要解决上述问题，只需修改 Go 结构体中包含原始 HTML 的字段类型：
修改结构体字段类型： 将 Item 结构体中的 Description 字段从 string 类型更改为 template.HTML。
// Item 结构体，Description 字段现在是 template.HTML 类型type Item struct { Title string Link string Description template.HTML // 将类型改为 template.HTML}
创建 template.HTML 实例： 在 Go 代码中为 Description 字段赋值时，需要将字符串显式转换为 template.HTML 类型。
data := struct { ItemList []Item}{ ItemList: []Item{ { Title: "Go Template Example", Link: "http://example.com", // 将字符串转换为 template.HTML Description: template.HTML("This is a rich text description with HTML tags.
立即学习“前端免费学习笔记（深入）”；
"), }, { Title: "Another Article", Link: "http://another.com", Description: template.HTML("Regular text description."), // 即使是纯文本，也可以使用 }, },}
注意： HTML 模板文件 (index.html) 无需进行任何修改。模板引擎会根据传入的数据类型自动识别 template.HTML 并进行相应的处理。
完整示例
以下是修改后的完整 Go 代码和 HTML 模板，展示了如何正确地在 Go HTML 模板中渲染原始 HTML 内容。
Go 代码（main.go）：
package mainimport ( "fmt" "html/template" // 导入 html/template 包 "log" "net/http" "io/ioutil" "encoding/xml" // 用于解析RSS数据)// RSS 结构体，匹配RSS XML的根元素type RSS struct { XMLName xml.Name `xml:"rss"` Items Channel `xml:"channel"`}// Channel 结构体，匹配RSS XML的channel元素type Channel struct { XMLName xml.Name `xml:"channel"` ItemList []Item `xml:"item"`}// Item 结构体，包含新闻条目的信息type Item struct { Title string `xml:"title"` Link string `xml:"link"` Description template.HTML `xml:"description"` // 关键修改：使用 template.HTML}func main() { // 模拟从Google News RSS获取数据 res, err := http.Get("http://news.google.com/news?hl=en&gl=us&q=samsung&um=1&ie=UTF-8&output=rss") if err != nil { log.Fatalf("Failed to fetch RSS: %v", err) } defer res.Body.Close() asText, err := ioutil.ReadAll(res.Body) if err != nil { log.Fatalf("Failed to read RSS body: %v", err) } var rssData RSS err = xml.Unmarshal(asText, &rssData) if err != nil { log.Fatalf("Failed to unmarshal RSS: %v", err) } http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) { handler(w, r, rssData.Items) }) fmt.Println("Server listening on :8080") log.Fatal(http.ListenAndServe(":8080", nil))}func handler(w http.ResponseWriter, r *http.Request, channelData Channel) { tmpl, err := template.ParseFiles("index.html") if err != nil { http.Error(w, fmt.Sprintf("Error parsing template: %v", err), http.StatusInternalServerError) return } if err := tmpl.Execute(w, channelData); err != nil { http.Error(w, fmt.Sprintf("Error executing template: %v", err), http.StatusInternalServerError) }}
HTML 模板文件（index.html）：
RSS News Feed body { font-family: Arial, sans-serif; margin: 20px; } .news-item { border: 1px solid #eee; padding: 15px; margin-bottom: 15px; border-radius: 5px; } .news-item h2 { margin-top: 0; } .news-item p { line-height: 1.6; }Latest News from RSS
{{range .ItemList}}{{end}}{{.Title}}
{{/* Description 字段将作为原始HTML被渲染 */}}{{.Description}}
现在，当运行此程序并在浏览器中访问 http://localhost:8080 时，Description 字段中的内容将作为原始 HTML 被渲染，而不再被转义。例如，如果 Description 包含表格或图片标签，它们将正常显示。
重要注意事项与最佳实践
安全性警示： 使用 template.HTML 意味着你信任该内容是安全的，不会引入恶意脚本。切勿直接将未经净化的用户输入赋值给 template.HTML 类型。如果内容来自用户，必须先经过严格的 HTML 净化库（如 bluemonday）处理，移除所有潜在的恶意标签和属性，然后再将其转换为 template.HTML。其他安全类型： html/template 包还提供了其他类似的类型来处理特定上下文中的安全内容：template.CSS: 用于 CSS 样式表内容。template.JS: 用于 JavaScript 代码。template.URL: 用于 URL 属性（如 href）。template.Srcset: 用于 标签的 srcset 属性。正确使用这些类型可以确保在不同上下文中生成安全的输出。html/template 与 text/template： Go 语言还有另一个模板包 text/template。text/template 不执行任何内容转义，因为它被设计用于生成非 HTML 的文本输出。如果你确定不需要 HTML 转义，并且生成的是纯文本，可以使用 text/template。但在生成 HTML 内容时，始终推荐使用 html/template 以利用其内置的安全机制。
总结
在 Go 语言的 html/template 中，默认的 HTML 转义是出于安全考虑，旨在防止 XSS 攻击。然而，当需要渲染已知安全的原始 HTML 内容时，可以通过将对应的数据字段类型声明为 template.HTML 来绕过自动转义。这一机制提供了一种灵活且安全的方式来处理富文本内容，但开发者必须牢记 template.HTML 意味着对内容的信任，因此务必确保其来源的安全性，对用户输入进行严格净化。
以上就是Go HTML 模板：安全渲染原始HTML内容而不被转义的详细内容，更多请关注创想鸟其它相关文章！
版权声明：本文内容由互联网用户自发贡献，该文观点仅代表作者本人。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
如发现本站有涉嫌抄袭侵权/违法违规的内容， 请发送邮件至 chuangxiangniao@163.com 举报，一经查实，本站将立刻删除。
发布者：程序猿，转转请注明出处：https://www.chuangxiangniao.com/p/1409651.html
微信扫一扫 
支付宝扫一扫 
