如何使用Golang的html/template_Golang模板渲染与防XSS实践

P粉602998670

发布时间：2026-02-09 11:09:11

557人浏览过

来源于php中文网

原创

html/template 默认防 XSS 因其按上下文自动转义，text/template 仅简单 HTML 实体转义且无上下文识别能力；绕过防护包括显式使用 template.HTML、预转义、JS 中未用 js 过滤器等。

如何使用golang的html/template_golang模板渲染与防xss实践

为什么 `html/template` 默认能防 XSS 而 `text/template` 不能

html/template 在解析时会根据上下文（如标签属性、JS 字符串、CSS 值、HTML 内容等）自动选择对应的转义策略；text/template 只做简单 HTML 实体转义（如 → zuojiankuohaophpcn），不识别上下文，无法防御 onclick="alert(1)" 这类属性内执行的 XSS。

常见错误现象：用 text/template 渲染用户输入到 href 或 onclick 中，结果触发 JS 执行。

使用场景：只要最终输出目标是 HTML 页面，一律用 html/template；仅生成纯文本、JSON、邮件正文等非 HTML 内容时才考虑 text/template。

哪些写法会绕过 `html/template` 的自动防护

自动防护只在「模板原生插值」中生效。以下操作会跳过转义逻辑：

立即学习“go语言免费学习笔记（深入）”；

显式调用 template.HTML 包装字符串（如 {{ .SafeHTML | safeHTML }}）—— 你得自己确保内容可信
用 url.QueryEscape 或 html.EscapeString 预处理后再传入模板 —— 多余且可能双重转义
在 JS 上下文中直接插入未标记为 template.JS 的变量（如 var x = "{{ .RawJS }}";）—— 这里必须用 {{ .RawJS | js }}
把用户输入拼进 href 时没走 url 函数（正确写法：...）

性能影响：手动绕过防护本身不慢，但一旦出错，XSS 漏洞比性能问题严重得多。

OmniAudio

OmniAudio 是一款通过 AI 支持将网页、Word 文档、Gmail 内容、文本片段、视频音频文件都转换为音频播客，并生成可在常见 Podcast ap

下载

`html/template` 中不同上下文对应的安全函数

模板会自动推断上下文，但有时需要显式标注。关键函数有：

{{ .Content | html }}：强制作为 HTML 片段渲染（等价于 template.HTML）
{{ .JSCode | js }}：在 JS 字符串或表达式中安全插入（转义成 \x3c 等）
{{ .URL | url }}：用于 href、src 等 URL 属性（校验协议白名单，过滤 javascript:）
{{ .CSS | css }}：用于 style 属性或标签（防止 expression() 等 IE 旧特性）

注意：url 函数默认只允许 http、https、mailto、tel 等协议；若需支持 ftp，得自定义函数并严格校验。

动态构建 HTML 标签时的典型陷阱

比如要根据数据生成带 class 的

，有人这么写：
{{ printf `%s
` .Class .Content | safeHTML }}
这完全绕过了模板的上下文感知，.Class 和 .Content 都不会被检查。正确做法是拆解为原生模板结构：
{{ .Content }}
或者用 template.HTMLAttr 封装属性值（需在 Go 侧预处理）：

Go 代码中：data.Class = template.HTMLAttr("my-class " + userClass)

模板中：{{ .Content }}


最容易被忽略的是：模板函数链式调用（如 {{ .Input | lower | html }}）中，html 必须是最后一个环节，否则后续操作可能破坏转义效果。