在 Beego 中向 HTML 模板注入原始 JavaScript 代码时，需避免 HTML 自动转义导致引号被编码；正确做法是使用 html/template.JS 类型对字符串进行类型标记，使模板引擎将其视为可信脚本内容，从而跳过转义。
在 beego 中向 html 模板注入原始 javascript 代码时，需避免 html 自动转义导致引号被编码；正确做法是使用 `html/template.js` 类型对字符串进行类型标记，使模板引擎将其视为可信脚本内容，从而跳过转义。
Beego 基于 Go 标准库的 html/template 实现模板渲染，而该包默认会对所有字符串数据执行 HTML 转义（如将 " 变为 "），以防止 XSS 攻击。当你通过 c.Data["JavaScript"] = jsString 传入 JS 代码并直接在模板中用 {{.JavaScript}} 渲染时，引擎会将其当作普通文本处理，导致语法破坏——例如 stroke: 'red' 被转义为 stroke: 'red'，最终无法执行。
✅ 正确解决方案：显式标记为 template.JS
在控制器中，导入 html/template 并将 JavaScript 字符串包装为 template.JS 类型：
import "html/template"
func (c *MainController) Index() {
jsCode := `var path = new fabric.Path('M 617 141 L 606 126 M 606 126 L 604 127 z', {
stroke: 'red',
strokeWidth: 2,
fill: false,
originX: 'left',
originY: 'top'
});
canvas.add(path);`
c.Data["JavaScript"] = template.JS(jsCode)
c.TplName = "index.tpl"
}
然后在模板（如 index.tpl 或 script.tpl）中直接引用：
<script>
var canvas = new fabric.Canvas('c');
canvas.setHeight(571);
canvas.setWidth(991);
{{.JavaScript}}
</script>
⚠️ 注意事项：
Java JDK 25 来自 OpenJDK 官方归档，版本为 JDK 25，本条下载地址已指向官方 Windows x64 zip 安装包直链，适合调试旧项目或兼容旧版 Java 运行环境。
- 切勿使用 template.JSEscape —— 它是用于转义 JS 字符串的工具函数（如防止 注入），而非绕过 HTML 转义的标记类型；它不能解决当前问题。
- 确保 JS 内容可信：template.JS 会完全禁用 HTML 转义，若内容来自用户输入或不可信源，将引发严重 XSS 风险。仅用于服务端生成、完全可控的脚本逻辑。
- 避免拼接敏感值：如需动态插入变量（如 ID、URL），应单独传入模板并通过 {{.SomeID}} 安全渲染，再由 JS 代码引用，而非拼接进 template.JS 字符串中。
? 补充技巧：若需多处注入不同脚本，可定义多个 template.JS 字段（如 "InitScript", "DrawScript"），并在模板中分段调用，提升可维护性。
总之，template.JS 是 Beego（及所有基于 html/template 的 Go Web 框架）中安全注入内联 JavaScript 的标准且唯一推荐方式——它既满足功能需求，又明确表达了开发者的意图与安全责任。
Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
