Go语言通过参数化查询、ORM规范使用、输入验证及html/template自动转义等手段，有效防御SQL注入和XSS攻击，核心在于正确使用标准库并遵循安全开发规范。
Go语言在构建Web应用时，面对常见的安全威胁如SQL注入和XSS（跨站脚本攻击），需要从编码规范、输入处理和框架使用等多个层面进行防御。下面分别介绍针对这两类攻击的有效防护方案。
防止SQL注入
SQL注入发生在应用将用户输入直接拼接到SQL语句中执行，攻击者可通过构造恶意输入操控数据库查询。Go中预防SQL注入的关键是避免字符串拼接SQL，并正确使用预处理语句。
使用参数化查询（Prepared Statements）
Go的database/sql包支持预处理语句，能有效防止SQL注入：
立即学习“go语言免费学习笔记（深入）”；
- 使用db.Query或db.Exec配合占位符（如?或$1）传递参数
- 数据库驱动会自动对参数进行转义和类型检查
- 避免使用fmt.Sprintf拼接SQL语句
示例：
stmt, _ := db.Prepare("SELECT * FROM users WHERE id = ?")rows, _ := stmt.Query(userID) // userID来自用户输入
使用ORM框架（如GORM）
GORM等ORM库默认使用参数化查询，减少手写SQL的风险。但仍需注意：
- 避免使用原生SQL方法（如Raw()或Exec()）拼接用户数据
- 对动态字段名或表名做白名单校验
输入验证与类型检查
对用户输入做基础校验，例如ID应为整数，邮箱应符合格式。可使用strconv.Atoi等函数进行类型转换，非法输入直接拒绝。
防范XSS攻击
XSS攻击通过在页面中注入恶意脚本，窃取用户信息或执行非法操作。Go中防范XSS的核心是：输出编码、输入过滤和使用安全模板。
使用html/template自动转义
Go的html/template包会在渲染时自动对HTML特殊字符进行转义，防止脚本执行：
- → zuojiankuohaophpcn
- youjiankuohaophpcn
- → "
只要使用html/template而非text/template，大多数XSS风险可自动规避。
手动转义不可信内容
若需输出原始HTML（如富文本内容），应使用template.HTML类型，但必须先进行严格过滤：
- 使用第三方库如bluemonday对HTML进行净化
- 只允许安全标签（如p、strong）和属性
示例：
import "github.com/microcosm-cc/bluemonday"policy := bluemonday.UGCPolicy()
clean := policy.Sanitize(dirtyHTML)
设置安全响应头
通过HTTP头增强防护：
- Content-Security-Policy：限制脚本来源
- X-XSS-Protection：启用浏览器XSS过滤（现代浏览器已逐步弃用）
- X-Content-Type-Options: nosniff：防止MIME类型嗅探
在Go中设置：
w.Header().Set("Content-Security-Policy", "default-src 'self'")通用安全建议
除了针对具体攻击的措施，还需建立整体安全意识：
- 所有用户输入视为不可信，坚持“最小权限”原则
- 使用中间件统一处理输入验证和输出编码
- 定期更新依赖库，关注安全公告
- 部署WAF（Web应用防火墙）作为额外防护层
基本上就这些。Go语言本身提供了良好的安全基础，关键在于开发者是否正确使用标准库和遵循安全实践。不复杂但容易忽略。
