如何在 Golang 框架中利用 HTML 模板生成动态的 Markdown 预览页面-Golang-PHP中文网

使用 PptxGenJS 和 Python 解析，将结构化的 HTML/CSS 幻灯片内容转换为原生、可编辑的 PowerPoint（.pptx）演示文稿。

必须用bluemonday等html清理器过滤goldmark或blackfriday输出的html，否则直接template.html包裹会导致xss风险；ugcpolicy可保留常用标签但禁用script/iframe等危险元素，且需用sanitizebytes返回[]byte再转string供模板安全渲染。

如何在 golang 框架中利用 html 模板生成动态的 markdown 预览页面

直接用 html/template 渲染 Markdown 内容会出安全问题——它默认转义所有输出，**bold** 变成纯文本，连 HTML 标签都被当字符串显示；想渲染成真实样式，必须绕过转义，但又不能裸奔式信任用户输入。

为什么不能直接用 `template.HTML` 包裹原始 Markdown 解析结果

很多人试过先用 blackfriday 或 goldmark 解析 Markdown，再把生成的 HTML 字符串丢进 template.HTML(...)，结果页面空白或报错。原因有两个：

goldmark 默认返回 []byte，不是 string，直接传给 template.HTML 会类型不匹配
即使转成 string，如果 Markdown 里含恶意 script 标签（比如用户提交的评论），template.HTML 会原样放行，XSS 风险拉满

推荐做法：用 `goldmark` + `html.UnescapeString` 做白名单过滤后再注入

别跳过 HTML 净化这步。Golang 生态里最轻量且可控的是 bluemonday，它允许你声明哪些标签、属性能保留。配合 goldmark 的 Parse 和 Render 流程，才是稳妥链路：

md := goldmark.New(
    goldmark.WithExtensions(extension.GFM),
)
buf := &bytes.Buffer{}
if err := md.Convert([]byte(input), buf); err != nil {
    return
}
cleaned := bluemonday.UGCPolicy().SanitizeBytes(buf.Bytes())
t.Execute(w, map[string]interface{}{
    "Content": template.HTML(cleaned),
})

注意三点：

bluemonday.UGCPolicy() 允许 <p></p>、<strong></strong>、<code> 等常见标签，禁用 <script></script>、<iframe></iframe>、onerror 类属性
别用 bluemonday.StrictPolicy()——它会干掉所有 <a href="..."></a>，导致链接失效
SanitizeBytes 返回 []byte，要转 string 才能喂给 template.HTML，但别用 string(buf.Bytes()) 多次调用，避免内存拷贝

模板里怎么写才不触发二次转义

模板文件中必须用双花括号不加任何修饰：{{ .Content }}，而不是 {{ .Content | safeHTML }} 或 {{ printf "%s" .Content }}。Golang 模板引擎只认 template.HTML 类型的值为“已信任”，其他方式都会被重新转义。

如果你在 handler 里忘了包一层 template.HTML，或者误用了 html.EscapeString 预处理，结果就是 <p>Hello</p> 被当成纯文本显示出来，而不是渲染成段落。