Go模板生成XML时避免HTML转义的正确实践-Golang-PHP中文网

Go模板生成XML时避免HTML转义的正确实践

使用Go的html/template包生成XML会导致尖括号被错误转义为

使用go的`html/template`包生成xml会导致尖括号被错误转义为`<`，破坏xml格式；应改用`text/template`包，并注意手动保障xml内容安全性，或更优地采用结构体+`encoding/xml`直接序列化。

在Go中生成符合规范的XML（如Sitemap）时，一个常见误区是直接复用 html/template 包——它专为HTML上下文设计，默认启用上下文感知的自动转义（auto-escaping），会将、& 等字符转义为、&，以防范XSS攻击。但XML并非HTML，这种转义会使XML文档语法失效，导致解析器拒绝加载（例如浏览器或搜索引擎爬虫报“invalid markup”错误）。

✅ 正确方案一：切换至 text/template

text/template 是 html/template 的底层基础包，不执行任何自动转义，完全信任开发者输入的内容。对于纯XML、JSON、配置文件等非HTML文本生成场景，它是更安全、更合适的选择。

使用Go语言搭建家庭相册系统-相关课件

下载

以下是修复后的示例代码：

package main

import (
    "bytes"
    "fmt"
    "text/template" // ← 关键：替换为 text/template
)

const tmplStr = `{{define "indexSitemap"}}<?xml version="1.0" encoding="UTF-8"?><sitemapindex xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">
{{range .Sitemaps}}
<sitemap><loc>{{.Loc}}</loc></sitemap>
{{end}}
</sitemapindex>{{end}}`

type SitemapEntry struct {
    Loc string
}

type SitemapData struct {
    Sitemaps []SitemapEntry
}

func main() {
    tmpl, err := template.New("sitemap").Parse(tmplStr)
    if err != nil {
        panic(err)
    }

    data := SitemapData{
        Sitemaps: []SitemapEntry{
            {Loc: "https://www.test.com/sitemap.xml"},
            {Loc: "https://www.test.com/events-sitemap.xml"},
            {Loc: "https://www.test.com/gamesAndTeams-sitemap.xml"},
        },
    }

    buf := new(bytes.Buffer)
    if err := tmpl.ExecuteTemplate(buf, "indexSitemap", data); err != nil {
        panic(err)
    }

    fmt.Println(buf.String())
}

✅ 输出将严格保持原始XML结构（含未转义的），可被标准XML解析器正确读取。

⚠️ 注意事项与最佳实践

不要混用 html/template 生成XML：即使省略声明（如答案中提到的“去掉 ? 可临时绕过”），也属不可靠行为，且违反设计契约，未来版本可能修复该边缘表现，导致隐性故障。
手动保障XML内容安全：text/template 不转义，意味着你必须确保所有动态插入的字段（如 .Loc）本身不含非法XML字符（如未转义的等）。若数据来源不可信（如用户输入），应在注入模板前进行预处理：
- 使用 xml.EscapeText()（来自 encoding/xml 包）对字符串转义；
- 或自定义模板函数（如 func xmlEscape(s string) string { ... }）并注册到模板中。
更推荐：结构体 + encoding/xml 序列化（生产首选）
对于Sitemap这类有明确Schema的XML，直接定义Go结构体并使用 encoding/xml 库序列化，既类型安全、又零转义风险，还能天然支持XML声明、命名空间、属性等高级特性：

type SitemapIndex struct {
    XMLName xml.Name `xml:"sitemapindex"`
    XMLNS   string   `xml:"xmlns,attr"`
    Sitemaps []SitemapEntry `xml:"sitemap"`
}

type SitemapEntry struct {
    Loc string `xml:"loc"`
}

// 使用方式：
// sitemap := SitemapIndex{XMLNS: "http://www.sitemaps.org/schemas/sitemap/0.9", ...}
// xmlBytes, _ := xml.MarshalIndent(sitemap, "", "  ")