Golang中的模板引擎html/template实战 Go语言Web安全渲染与防XSS

为什么 html/template 默认不防所有 xss？

它只对特定上下文做自动转义，不是万能盾牌。比如你在 href 或 onclick 里插数据，它不会帮你判断 js 语法是否安全，而是按 HTML 属性规则转义——结果可能仍是可执行的 JS。

常见错误现象：template: "xxx":123: unexpected "javascript:void(0)" in Attribute 这类报错其实不是模板出错，是你硬塞了非法值；更危险的是没报错但渲染出了 <a href="javascript:alert(1)"></a>。

• 使用场景：所有动态插入用户输入的地方，尤其是 href、src、style、on* 事件属性
• html/template 的转义逻辑绑定在「上下文」上：文本内容 → 转义 <code>>；属性值（双引号内）→ 转义 " 和 &；但不会处理 javascript: 协议或 CSS 表达式
• 性能影响几乎为零，但误用 text/template 替代 html/template 会导致全量不转义，风险直线上升

怎么安全地插入 URL、CSS、JS 片段？

不能靠 {{.URL}} 硬塞，必须显式标注类型。go 模板通过类型实现上下文感知，url.URL、template.URL、template.CSS、template.JS 这些类型才是“通行证”。

示例：传入一个用户可控的跳转链接

立即学习“go语言免费学习笔记（深入）”；

data := struct {     RedirectURL template.URL }{     RedirectURL: template.URL("https://example.com?x=" + url.QueryEscape(userInput)), }

模板中写 <a href="%7B%7B.RedirectURL%7D%7D"></a>，模板引擎才敢放行；如果传的是普通字符串，它会把 : 和 / 都转成实体，链接就废了。

• template.URL 允许 http://、https://、//、/ 开头，其余协议（如 javascript:）会被清空
• template.CSS 不解析样式，只做最小化白名单过滤，别指望它防 expression() 或 url(javascript:...)
• 千万别用 template.HTML 对用户输入做“信任包装”，这是最常踩的坑——它等于告诉模板：“这段我全权负责，你别管”

自定义函数怎么避免绕过转义？

注册的模板函数如果返回 String，会被当作文本再转义一次；但如果返回 template.HTML，就直接跳过所有处理——等于开了后门。

常见错误现象：写了个 highlight 函数，把关键词加 <em></em> 标签，结果用户输 <img src="x" onerror="alert(1)" alt="golang中的模板引擎html/template实战 Go语言web安全渲染与防XSS" >，高亮后照样执行。

• 安全做法：函数内部对输入先做净化（比如用 bluemonday 库），再返回 template.HTML；或者干脆返回 string，让模板兜底转义
• 参数差异：接收 string 比接收 template.HTML 更安全，后者意味着你已承诺内容可信
• 兼容性注意：Go 1.22+ 对 template.Funcmap 中函数的返回类型检查更严格，非 string / template.* 类型可能 panic

HTML 属性里动态拼接 class 怎么写才不出问题？

别用 class="{{.A}} {{.B}}" 直接拼，万一 .A 是 "foo onload=alert(1)"，就漏了。

正确思路是：服务端组合好 class 名，确保只含字母、数字、短横线和下划线，再传给模板。

• 推荐工具：用 strings.Map 或正则预处理，例如 regexp.MustCompile(`[^a-zA-Z0-9_-]+`).ReplaceAllString(class, "")
• 不要依赖前端 JS 做 class 过滤，XSS 已经在服务端渲染时发生了
• 如果必须动态计算，封装成函数返回 template.CSS（虽然它不校验 class，但至少阻止注入引号和等号）

真正难的不是写对一行模板，而是每次插入外部数据前，都得问一句：这个值最终落在哪个上下文？HTML 文本？属性值？JS 字符串？URL 参数？漏掉一个，防线就断了。