如何在 Go 的 JSON 编码中禁用 HTML 字符转义-Golang-PHP中文网

如何在 Go 的 JSON 编码中禁用 HTML 字符转义

Go 的 encoding/json 包默认会对和 & 进行 Unicode 转义（如 \u0026），以防止 XSS 风险；若需保留原始字符（如生成前端可直接使用的 JSON），可通过 json.Encoder.SetEscapeHTML(false) 禁用该行为。

go 的 `encoding/json` 包默认会对 `` 和 `&` 进行 unicode 转义（如 `\u0026`），以防止 xss 风险；若需保留原始字符（如生成前端可直接使用的 json），可通过 `json.encoder.setescapehtml(false)` 禁用该行为。

在 Go 中，json.Marshal() 和 json.Encoder 默认启用 HTML 安全转义（SetEscapeHTML(true)），将和 & 分别编码为 \u003c、\u003e 和 \u0026。这虽提升了嵌入 HTML 场景的安全性，但在纯 API 交互或需要保持字符串可读性的场景下反而造成干扰。

推荐方案：使用 json.Encoder 并关闭 HTML 转义
自 Go 1.7 起，json.Encoder 提供了 SetEscapeHTML(false) 方法，可安全禁用该机制：

package main

import (
    "bytes"
    "encoding/json"
    "fmt"
)

func main() {
    mp := map[string]string{"key": "The Knight & Day <test>"} 
    var buf bytes.Buffer

    enc := json.NewEncoder(&buf)
    enc.SetEscapeHTML(false) // ✅ 关键：禁用 HTML 转义
    err := enc.Encode(mp)
    if err != nil {
        panic(err)
    }

    fmt.Println(buf.String())
    // 输出: {"key":"The Knight & Day <test>"}
}</test></test>

⚠️ 注意事项：

anything-to-html
将调研报告、方案对比、数据分析、需求梳理、会议纪要、设计说明、代码评审、学习笔记等任务产物输出为可在浏览器直接打开的单文件 HTML，替代 Markdown 作为最终交付物。Markdown 在信息密度、视觉清晰度和可分享性上已跟不上 AI 产物的丰富度，HTML 能同时承载排版、表格、SVG 等。

下载
json.Marshal() 不提供禁用转义的选项，仅 json.Encoder 支持 SetEscapeHTML()；

SetEscapeHTML(false) 仅影响、& 三个字符，其他 Unicode 字符（如中文、emoji）仍按标准 JSON 规范正常编码；
若必须使用 json.Marshal()，可手动后处理（如 bytes.ReplaceAll()），但属临时规避，易出错且不推荐：
b, _ := json.Marshal(mp)
b = bytes.ReplaceAll(b, []byte(`\u003c`), []byte(""))
b = bytes.ReplaceAll(b, []byte(`\u0026`), []byte("&"))
禁用转义后，请确保 JSON 输出不被直接内联到 HTML 的未加引号属性或 script 标签中，否则可能引入 XSS 漏洞——建议始终通过 textContent 或 JSON.parse() 在前端消费 JSON。