Gin框架怎么让模板安全输出未转义内容-Golang-PHP中文网

应使用template.html类型包装可信html内容，模板中仍写{{.content}}；禁用|safe等不安全方式，url、js、css等需分别用template.url、template.js、template.css标注。

gin框架怎么让模板安全输出未转义内容

模板里 {{.Content}} 被自动转义成 <script> 怎么办</script>

html/template 默认对所有变量执行 HTML 转义，这是安全机制，不是 bug。当你传入 "<script>alert(1)</script>" 这类含 HTML 标签的字符串，{{.Content}} 会输出 <script>alert(1)</script>，浏览器不会执行脚本——这正是你该期待的行为。

但如果你确认这段内容是可信的（比如后台富文本经 bluemonday 过滤后），又想让它原样渲染为 HTML，就不能靠“关掉转义”这种粗暴方式，而要用官方认可的“类型标注”：

后端把内容包装成 template.HTML 类型，再传给模板
模板中仍写 {{.Content}}，但此时引擎识别出它是 template.HTML，跳过 HTML 转义，仅做上下文安全处理（如在属性中仍会编码引号）
绝对不要用 | safe 或 {{.Content | safeHTML}} ——它不校验内容，等同于信任任意字符串，XSS 风险极高

示例（Gin handler）：

import "html/template"

func handler(c *gin.Context) {
    content := "<p>Hello <strong>world</strong></p>"
    c.HTML(http.StatusOK, "page.html", gin.H{
        "Content": template.HTML(content), // 关键：强转为 template.HTML
    })
}

为什么不能用 | safe 或直接用 string 传

常见错误是模板里写 {{.Content | safe}}，或后端传 string 类型然后在模板里加 | safe。这等于告诉模板引擎：“我保证这串字符绝对安全”，但引擎不做任何检查——如果 .Content 实际来自用户输入且未过滤，XSS 就直接触发。

更隐蔽的问题是：即使你用了 | safe，它只影响当前 pipeline，无法阻止其他上下文（如 href="{{.URL | safe}}"）中的 URL 编码或 JS 上下文转义，反而造成行为不一致。

Gin框架 1.9.0

Gin框架 1.9.0版本源码包下载，版本号 1.9.0，适合需要 sonic JSON 支持、路由修复和内容协商改进的 Go Web 开发场景。

下载

真正可控的做法只有两个：

前端完全接管渲染（如用 innerHTML），但需确保后端返回的是已清洗的 HTML（如 bluemonday 处理后的结果）
后端在传参前就用 template.HTML 包装，让模板引擎从源头识别可信性

JSON 字符串传到前端也要用 template.JS

另一个高频场景：你想把 Go 结构体序列化后的 JSON 字符串塞进模板，供前端 JS 使用。如果直接传 string 类型，{{.Data}} 会把 { 转成 {，导致 JSON.parse() 报错 SyntaxError: Unexpected token &。

正确做法是用 template.JS 包装：

后端先 json.Marshal 得到 []byte，转 string 后强转为 template.JS
传入模板的字段类型必须是 template.JS，不是 string
模板中仍写 {{.Data}}，引擎识别后跳过 HTML 转义，输出原始 JSON 字符串

示例：

import (
    "encoding/json"
    "html/template"
)

data := struct{ Name string }{"Alice"}
b, _ := json.Marshal(data)
c.HTML(http.StatusOK, "page.html", gin.H{
    "Data": template.JS(string(b)), // 注意：不是 string(b)
})