Go语言模板安全转义函数如何用_Go语言HTML安全转义函数教程【实战】-Golang-PHP中文网

html/template默认自动转义防xss，无需手动调用转义函数；必须严格使用该包、禁用text/template和safehtml、过滤前置至handler层，属性/js/css插入须用引号及template.url/jss/css。

go语言模板安全转义函数如何用_go语言html安全转义函数教程【实战】

只要用对 html/template 包、不手动绕过转义、不混用 text/template，就根本不需要“找转义函数”——它默认就做，而且比你手写的更安全。

这个函数是给非模板场景用的，比如读文件后拼日志、构造邮件正文、生成 JSON 响应体。直接塞进 html/template 里反而会出问题：

模板引擎看到的是普通 string，仍会再做一次上下文感知转义，导致双重转义（比如 &）
你手动转义后又传 template.HTML(...)，等于白干，还可能漏掉属性上下文里的危险协议
html.EscapeString 只处理 5 个字符（、<code>>、&、"、'），但 html/template 在 href="" 或 onclick="" 里还会做 URL/JS 层级编码，它更细

它不是让你“把字符串变安全”的工具，而是你向模板声明：“这段 HTML 我已清洗过，你别动”。误用就是开后门：

Article To Html

文章转信息图。将文章/笔记转化为手机可读的 HTML 信息图，自动匹配视觉风格。触发场景：文章转图、笔记转图、信息图、转小红书图、做张图、可视化这篇文章、文生图。

下载

用户提交的富文本、API 返回的字段、表单输入值，一律禁止 template.HTML(userInput)
后台编辑的公告、CMS 管理员录入的 HTML 片段，才考虑用；且必须先过 bluemonday 白名单过滤
template.HTML 是空 struct 别名，零值是空字符串，不能用 nil 初始化
模板里写 {{.SafeContent}} 就行，别加 | safeHTML（Go 1.12+ 已弃用）或 {{printf "%s" .SafeContent}}（无效）

html/template 不会自动帮你转义 os.ReadFile 读出来的字符串。它只对模板插值做上下文转义，前提是字段是 string 类型：

正确链路：content, _ := os.ReadFile("page.md") → escaped := html.EscapeString(string(content)) → data := struct{ Content string }{escaped} → 模板写 {{.Content}}
如果文件本身含合法 HTML（如 CMS 导出的 article.html），就不能只转义，得先用 bluemonday 过滤，再转 template.HTML(cleaned)
绝对不要
```
strings.ReplaceAll(raw, "\n", "<br>")
```
后再传 template.HTML —— 这样会把用户输入的 onerror="alert(1)" 也原样包进去