Go HTML 模板中的 ZgotmplZ：安全内容处理指南

问题复现示例

考虑以下 Go 模板代码，它尝试在 标签中动态生成 selected="selected" 属性：

package main

import (
    "html/template"
    "os"
)

func main() {
    funcMap := template.FuncMap{
        "printSelected": func(s string) string {
            if s == "test" {
                return `selected="selected"`
            }
            return ""
        },
        "safe": func(s string) template.HTML { // 这里的safe函数仅用于演示，实际问题出在printSelected的返回值
            return template.HTML(s)
        },
    }
    template.Must(template.New("Template").Funcs(funcMap).Parse(`
    test
    `)).Execute(os.Stdout, nil)
}

运行上述代码，输出将是：

test

尽管我们定义了一个 safe 函数，但它只将整个字符串标记为 HTML 内容，而模板引擎在处理属性时，仍然会对其进行额外的安全检查。printSelected 函数返回的是一个普通的 string 类型，当它被直接插入到 HTML 属性上下文中时，html/template 引擎会认为它是不安全的，并用 ZgotmplZ 替换。

立即学习“前端免费学习笔记（深入）”；

解决方案：使用 html/template 的安全类型

要解决 ZgotmplZ 问题，我们需要明确告诉 html/template 引擎，我们提供的字符串内容是安全的，并且应该按其原始形式渲染，而无需额外的转义。这通过使用 html/template 包中定义的特殊类型来实现，例如：

• template.HTML: 用于标记一段安全的 HTML 代码。
• template.HTMLAttr: 用于标记一个安全的 HTML 属性（例如 selected="selected"）。
• template.CSS: 用于标记一段安全的 CSS 样式。
• template.JS: 用于标记一段安全的 JavaScript 代码。
• template.JSStr: 用于标记一个安全的 JavaScript 字符串字面量。
• template.URL: 用于标记一个安全的 URL。

当我们将一个普通字符串转换为这些类型之一时，html/template 引擎会信任该内容，并将其直接输出，不再进行额外的转义或替换为 ZgotmplZ。

Cursor

一个新的IDE，使用AI来帮助您重构、理解、调试和编写代码。

下载

修正后的示例代码

以下是使用 template.HTMLAttr 和 template.HTML 解决上述问题的示例：

package main

import (
    "html/template"
    "os"
)

func main() {
    funcMap := template.FuncMap{
        // attr 函数将普通字符串转换为 template.HTMLAttr 类型，表示这是一个安全的HTML属性
        "attr": func(s string) template.HTMLAttr {
            return template.HTMLAttr(s)
        },
        // safe 函数将普通字符串转换为 template.HTML 类型，表示这是一段安全的HTML内容
        "safe": func(s string) template.HTML {
            return template.HTML(s)
        },
    }

    template.Must(template.New("Template").Funcs(funcMap).Parse(`
    test
    {{.html | safe}}
    `)).Execute(os.Stdout, map[string]string{
        "attr": `selected="selected"`, // 这是一个安全的属性字符串
        "html": `option`, // 这是一段安全的HTML字符串
    })
}

运行上述修正后的代码，输出将是：

test
option

在这个例子中，我们定义了 attr 和 safe 两个辅助函数。attr 函数将字符串转换为 template.HTMLAttr 类型，专门用于处理 HTML 属性。safe 函数将字符串转换为 template.HTML 类型，用于处理完整的 HTML 片段。通过这种方式，模板引擎知道这些内容是经过开发者审查并信任的，因此会直接输出，而不是替换为 ZgotmplZ。

其他安全类型的使用场景

除了 template.HTMLAttr 和 template.HTML，其他安全类型也各有其应用场景：

• template.CSS: 当你需要在
• template.JS: 当你需要在
• template.URL: 当你需要在 href、src 等属性中插入动态生成的 URL 时，应将其转换为 template.URL。

  // 例如：``
  "url": func(s string) template.URL { return template.URL(s) }