gin 的 c.html() 底层使用 html/template，自动按上下文转义：html 正文中转义 &" 等，在 href/src 中调用 url.queryescape 编码空格、括号等，该行为不可关闭且依赖插入位置而非内容。
html/template 自动转义在 Gin 中如何生效
Gin 的 c.HTML() 底层用的是 Go 标准库的 html/template，不是 text/template。这意味着所有通过 {{.xxx}} 插入模板的变量，默认都会按上下文做安全编码：在 HTML 正文里会转义 、<code>>、& 等；在 href 或 src 属性中则调用 url.QueryEscape 编码空格、括号、引号等非 URL 安全字符。
关键点在于：这个行为是自动的、不可关闭的，且依赖变量插入的「位置」而非内容本身。比如 href="https://www.php.cn/link/8627a5992a7f67f8c1e3db85cf9c23eb" 和 <a href="https://www.php.cn/link/8627a5992a7f67f8c1e3db85cf9c23eb"></a> 是等效的，但 href='https://www.php.cn/link/8627a5992a7f67f8c1e3db85cf9c23eb' 同样触发 URL 上下文编码。
- 手动拼接 HTML 字符串（如
c.String(200, "<div>"+userInput+"</div>")）完全绕过转义，绝对禁止 - 使用
template.Must(template.New(...).Funcs(...))自定义函数时，若返回值类型是template.HTML，会被视为“已信任”，跳过转义 —— 这是唯一可主动绕过的出口，务必只用于你 100% 控制来源的 HTML 片段 - 前端 JS 里用
innerHTML = "{{.rawHtml}}"仍是危险的，html/template不会阻止这种 DOM 型 XSS，需配合 CSP 或前端 sanitization
什么时候必须手动校验输入而不是依赖模板转义
模板转义只管「输出」，不管「输入」。如果恶意数据被存进数据库（存储型 XSS），下次渲染仍会触发 —— 转义只是让这次输出安全，不解决源头污染。
所以对所有用户可控输入（c.Query()、c.PostForm()、c.ShouldBindJSON() 等），应在进入业务逻辑前做最小化白名单校验：
- 邮箱字段只允许
[a-z0-9._%+-]+@[a-z0-9.-]+\.[a-z]{2,}类正则匹配，拒绝多余字符 - 用户名限制为 ASCII 字母、数字、下划线，长度 ≤ 20，用
strings.Trim+regexp.MustCompile预处理 - 富文本场景必须用专用库（如
bluemonday）过滤 HTML 标签，不能靠后端模板或前端innerText补救
Content-Security-Policy 头为什么比 X-XSS-Protection 更可靠
X-XSS-Protection 是旧版 IE/Chrome 的启发式过滤器，现代浏览器已弃用，且对存储型、DOM 型 XSS 几乎无效。而 Content-Security-Policy 是 W3C 标准，由浏览器强制执行，能从根本上限制脚本加载和执行范围。
在 Gin 中设置时注意两点：
- 必须作为响应头写入，不能靠 meta 标签（meta 只对 HTML 文档生效，对 API、重定向等无效）
- 策略要具体：比如
c.Header("Content-Security-Policy", "default-src 'self'; script-src 'self' https://cdn.example.com; object-src 'none'")，避免宽泛的'unsafe-inline'或'unsafe-eval' - 开发阶段可用
report-uri或report-to收集违规日志，但上线后应移除 report-only 模式，直接 enforce
中间件里加安全头的常见疏漏
很多教程直接在中间件里无条件设置一堆头，但实际有多个隐性条件：
-
Strict-Transport-Security必须只在 HTTPS 下发送，否则会被浏览器忽略甚至报错 —— 判断依据不是c.Request.TLS != nil，而是c.GetHeader("X-Forwarded-Proto") == "https"（考虑反向代理场景） -
X-Frame-Options: DENY和Content-Security-Policy: frame-ancestors 'none'功能重复，后者更现代，建议只留后者 -
Referrer-Policy: no-referrer会影响部分分析工具的来源追踪，若需保留部分 referrer，可用strict-origin-when-cross-origin
最易被忽略的是：这些头对静态文件（c.Static() 返回的 CSS/JS）默认不生效，需单独为 StaticFS 注册中间件，或改用 Nginx 等前置服务统一加头。
