Go HTML 模板：安全渲染原始 HTML 内容与处理已转义的输入

引言与问题背景

在使用 go 语言的 html/template 包构建 web 应用时，一个常见的需求是将包含 html 标签的字符串作为数据传递给模板进行渲染。然而，html/template 出于安全考虑，默认会将所有传入的字符串内容进行 html 转义。这意味着像 <p>hello</p> 这样的字符串在模板中可能会被渲染成

hello

例如，在处理 RSS 订阅源时，description 字段通常包含格式化的 HTML 内容。如果直接将其作为 string 类型传递给 Go 模板，模板引擎会将其中的 <、>、" 等特殊字符转义为 、" 等 HTML 实体。更复杂的情况是，如果 RSS 源本身提供的 description 内容就已经包含了 HTML 实体转义（如

本文将详细探讨 html/template 的安全机制，并提供一个完整的解决方案，包括如何使用 template.HTML 类型以及如何处理源数据中已存在的 HTML 实体转义，以确保原始 HTML 内容能够正确渲染。

html/template 的安全设计

html/template 包的设计核心是安全性，它旨在防止跨站脚本（XSS）攻击。XSS 攻击通常发生在用户输入被不加区分地直接插入到 HTML 页面中，恶意脚本可能因此被执行。为了避免这种情况，html/template 默认会对所有通过数据管道（pipeline）传入的字符串内容进行上下文敏感的自动转义。这意味着，无论字符串是来自数据库、文件还是用户输入，它都会被视为潜在的非信任数据，并进行适当的转义，以确保其作为纯文本而不是可执行代码或结构化标记插入到 HTML 中。

这种默认的安全策略对于大多数场景都是非常有益的，因为它大大降低了 XSS 漏洞的风险。然而，当开发者明确知道某些内容是安全的、且需要作为原始 HTML 进行渲染时，这种默认转义行为就成了障碍。

立即学习“前端免费学习笔记（深入）”；

解决方案：使用 template.HTML 类型

Go 语言的 html/template 包提供了一系列特殊的类型，用于指示模板引擎该内容是安全的，可以跳过默认的 HTML 转义。其中，template.HTML 类型专门用于标记那些已知为安全且应作为原始 HTML 渲染的字符串。

当一个结构体字段的类型被声明为 template.HTML，并且该字段的值被传递给模板时，模板引擎会识别出这个特殊类型，并跳过对其内容的转义。

处理已转义的源数据

如前所述，如果您的源数据（例如从 RSS feed 或其他 API 获取的 XML/JSON 数据）中的 HTML 内容本身就已经包含了 HTML 实体转义（如

AiPPT模板广场

AiPPT模板广场-PPT模板-word文档模板-excel表格模板

147

查看详情

为了将

处理流程总结：

1. 从源数据中获取 HTML 内容（通常是 string 类型）。
2. 如果该内容包含 HTML 实体转义（如
3. 将反转义后的字符串强制转换为 template.HTML 类型。
4. 将包含 template.HTML 字段的数据结构传递给模板引擎。

实战示例

下面我们将通过一个完整的 Go Web 应用示例来演示如何正确地在 html/template 中渲染原始 HTML 内容，并处理已转义的源数据。

假设我们从 Google News RSS 获取新闻，其中 description 字段包含 HTML 内容，并且这些 HTML 内容本身已经经过了实体转义。

1. 定义数据结构

首先，我们需要定义用于解析 RSS XML 和用于模板渲染的数据结构。为了清晰起见，我们将定义两个结构体：一个用于 XML 反序列化，另一个用于模板渲染。

package main

import (
    "encoding/xml"
    "fmt"
    "html" // 导入 html 包用于 UnescapeString
    "html/template"
    "io/ioutil"
    "log"
    "net/http"
)

// RSSXML 用于 XML 反序列化
type RSSXML struct {
    XMLName xml.Name `xml:"rss"`
    Channel ChannelXML `xml:"channel"`
}

type ChannelXML struct {
    XMLName  xml.Name `xml:"channel"`
    ItemList []ItemXML `xml:"item"`
}

type ItemXML struct {
    Title       string `xml:"title"`
    Link        string `xml:"link"`
    Description string `xml:"description"` // XML 反序列化时仍为 string
}

// ItemForTemplate 用于 HTML 模板渲染
type ItemForTemplate struct {
    Title       string
    Link        string
    Description template.HTML // 模板渲染时使用 template.HTML
}

// ChannelForTemplate 是 ItemForTemplate 的容器，用于匹配模板中的 .ItemList
type ChannelForTemplate struct {
    ItemList []ItemForTemplate
}

2. main 函数：获取并解析 RSS 数据

main 函数负责启动 HTTP 服务器，并在启动前获取并解析 RSS 数据。

func main() {
    // 模拟获取 RSS 数据
    // 实际应用中，您可能会从外部 RSS 源获取数据
    // 这里使用一个简化的 RSS 字符串，其中 description 包含已转义的 HTML
    rssContent := `<?xml version="1.0" encoding="UTF-8"?>
<rss version="2.0">
  <channel>
    <title>Go News</title>
    <link>http://example.com/news</

以上就是Go HTML 模板：安全渲染原始 HTML 内容与处理已转义的输入的详细内容，更多请关注php中文网其它相关文章！