如何在 Beego 模板中安全插入 JavaScript 代码片段-Golang-PHP中文网

在 Beego 中直接向模板注入 JavaScript 字符串时，默认会进行 HTML 转义导致引号被编码、代码失效；正确做法是使用 html/template.JS 类型包装字符串，绕过自动转义，实现原生 JS 代码的安全注入。

在 beego 中直接向模板注入 javascript 字符串时，默认会进行 html 转义导致引号被编码、代码失效；正确做法是使用 `html/template.js` 类型包装字符串，绕过自动转义，实现原生 js 代码的安全注入。

Beego 基于 Go 标准库的 html/template 实现模板渲染，而该包对所有 .Data 传入的字符串默认执行 HTML 转义（如 " → "），以防止 XSS 攻击。当你通过 c.Data["JavaScript"] = jsString 传递一段含引号、括号和特殊字符的 Fabric.js 初始化代码时，模板引擎会将其视为普通文本而非可执行脚本——结果就是浏览器收到的是被转义的字符串字面量，而非合法的 JavaScript 语句。

✅ 正确解决方案：显式标记为 template.JS
在控制器中，需导入 html/template 包，并将 JavaScript 字符串强制转换为 template.JS 类型：

import "html/template"

func (c *MainController) Index() {
    jsCode := `var path = new fabric.Path('M 617 141 L 606 126 M 606 126 L 604 127 z', { 
        stroke: 'red', 
        strokeWidth: 2, 
        fill: false, 
        originX: 'left', 
        originY: 'top'
    });
    canvas.add(path);`

    c.Data["JavaScript"] = template.JS(jsCode) // 关键：类型转换
    c.TplName = "index.tpl"
}

在模板（如 index.tpl）中，直接使用 {{.JavaScript}} 即可无转义插入：

OpenJDK 24

下载

<script>
var canvas = new fabric.Canvas('c');
canvas.setHeight(571);
canvas.setWidth(991);
{{.JavaScript}}
</script>

⚠️ 注意事项：

切勿使用 template.JSEscape：它是一个函数，用于手动转义 JS 字符串，与需求相反；此处需要的是 取消转义，而非双重转义。
避免拼接不可信输入：template.JS 绕过了安全机制，若 jsCode 来源于用户输入或外部 API，必须先严格校验/白名单过滤，否则存在严重 XSS 风险。
推荐替代方案（进阶）：对于复杂交互逻辑，建议将动态数据以 JSON 形式安全传入（利用 template.JS 包装 json.Marshal 结果），再由前端 JS 解析执行，兼顾安全性与灵活性。

总之，template.JS 是 Beego（及所有基于 html/template 的 Go Web 框架）中注入内联脚本的标准且安全的方式——前提是开发者明确承担内容可信性责任。