html.escapestring仅转义、&、"、'五个字符，适用于纯文本预处理（如日志、api错误消息），但不防xss，不能替代html/template等上下文感知机制，误用会导致双重转义或绕过防护。
直接用 html.EscapeString 就行，但必须清楚它只做单层转义、不处理上下文，且不能替代模板安全机制。
什么时候该用 html.EscapeString
它适合预处理**纯文本内容**，比如日志摘要、API 返回的错误消息、或写入非模板 HTML 片段（如拼接 script 标签内的字符串）。不适合用于 html/template 中的变量插值——那里由模板引擎自动处理更安全。
- 你手动拼接 HTML 字符串（例如生成邮件正文、生成静态页面片段）
- 需要把用户输入存入数据库前做一次“可见性转义”（仅作展示备份，非安全防护）
- 调试时快速查看某段内容在浏览器里会被怎么解析：
fmt.Println(html.EscapeString("<div>hello</div>"))
html.EscapeString 的行为边界
它只替换 5 个字符：、<code>>、&、"、'（单引号）。不会处理 Unicode 字符、不会做 URL 编码、也不会根据 HTML 属性上下文（如 href 或 onclick）做适配。
- 输入
"<script>alert(1)</script>"→ 输出"<script>alert(1)</script>"（双引号和尖括号被转义） - 输入
"javascript:alert(1)"→ 原样输出，html.EscapeString不识别协议，也不阻止危险 href - 输入
"αβγ"→ 原样输出，它不处理 Unicode 字符实体化
别把它当 XSS 防护用
单独调用 html.EscapeString 后再拼进 HTML，依然可能被绕过。比如：@#@#@#@#@#@#@#@#@#@0 —— 如果 userInput 是 javascript:alert(1)，拼完仍是可执行链接。
- 真正防 XSS 要靠上下文感知：用
html/template包，让引擎自己判断该转义成 HTML 实体、URL 编码还是 CSS 字符串 - 若必须手动拼接，至少确保属性值用双引号包裹，并在后端白名单校验协议（如只允许
http://、https://、/开头） - 永远不要对用户输入调用
template.HTML，也永远不要把html.EscapeString结果直接塞进onclick=...这类事件属性里
常见误用场景
最典型的是：想“双重保险”，在模板外先 html.EscapeString，再传给 {{.Content}} —— 结果内容被转义两次，显示为 <p>Hello</p>。
- 模板内用
{{.Content}}时，.Content应该是原始字符串，不是已转义过的 - 如果源数据本身已是 HTML 实体（比如 RSS 的
<p>Hello</p>），需先用html.UnescapeString还原，再决定是否转template.HTML - 从数据库读出的 string 类型富文本，若要渲染为 HTML，应在 handler 中转成
template.HTML，而不是在模板里用函数转
关键点就一个：html.EscapeString 是工具函数，不是安全方案。它解决的是“如何让一段文本在 HTML 中原样显示”，而不是“如何防止执行恶意代码”。后者必须交给 html/template 或严格的内容策略来管。
golang免费学习笔记（深入）：立即使用
在学习笔记中，你将探索golang的核心概念和高级技巧！
