Go的html/template包通过上下文感知转义防止XSS；在HTML文本中，特殊字符如、&等会被自动转义为实体，确保动态数据安全渲染。
Go 的 html/template 包专为安全地渲染 HTML 内容设计，核心目标是防止跨站脚本攻击（XSS）。只要正确使用，它能自动对动态数据进行上下文相关的转义。但若理解不足或误用，仍可能引入安全风险。
自动转义机制
Go 模板默认开启自动转义，会根据当前所处的 HTML 上下文（如文本、属性、JS、URL 等）选择合适的转义方式：
- 在 HTML 文本中，
转为 - 在双引号属性中，
"转为" - 在 URL 中，特殊字符会被 URL 编码
- 在 JS 字符串中，使用 Unicode 转义防止注入
避免使用 template.HTML 类型
只有当你完全信任内容来源时，才应使用 template.HTML 类型绕过转义。滥用会导致 XSS 漏洞。
- 不要将用户输入强制转为
template.HTML - 静态 HTML 片段或服务端生成的可信内容可考虑使用
- 建议封装校验逻辑，确保内容经过白名单过滤
template.HTML(userInput) —— 用户可控输入直接渲染为 HTML，极度危险。
上下文感知输出
模板引擎能识别变量出现在不同位置，并应用对应转义规则：
立即学习“go语言免费学习笔记（深入）”；
- 在
中，.URL 会按 URL 规则编码 - 在 中，.Data 会按 JS 字符串转义
- 嵌入 JSON 数据时，使用
不推荐手动调用{{.Data|json}}确保安全序列化html.EscapeString，交给模板引擎处理更可靠。模板定义与执行安全
控制模板来源和执行过程同样重要：
- 模板文件不应由用户上传或任意指定
- 使用
template.ParseFS或预编译模板限制加载路径 - 避免通过参数拼接模板片段
- 设置合理的超时和嵌套层级，防拒绝服务
基本上就这些。Go 模板本身很安全，关键在于不破坏它的防护机制。只要不随意使用
template.HTML，并理解上下文转义行为，就能有效防御常见 XSS 攻击。 - 嵌入 JSON 数据时，使用
