为什么 html/template 默认不防所有 XSS？
它只对特定上下文做自动转义，不是万能盾牌。比如你在 href 或 onclick 里插数据，它不会帮你判断 JS 语法是否安全，而是按 HTML 属性规则转义——结果可能仍是可执行的 JS。
常见错误现象：template: "xxx":123: unexpected "javascript:void(0)" in attribute 这类报错其实不是模板出错，是你硬塞了非法值；更危险的是没报错但渲染出了 <a href="javascript:alert(1)"></a>。
- 使用场景：所有动态插入用户输入的地方，尤其是
href、src、style、on*事件属性 -
html/template的转义逻辑绑定在「上下文」上：文本内容 → 转义<code>>；属性值（双引号内）→ 转义"和&；但不会处理javascript:协议或 CSS 表达式 - 性能影响几乎为零，但误用
text/template替代html/template会导致全量不转义，风险直线上升
怎么安全地插入 URL、CSS、JS 片段？
不能靠 {{.URL}} 硬塞，必须显式标注类型。Go 模板通过类型实现上下文感知，url.URL、template.URL、template.CSS、template.JS 这些类型才是“通行证”。
示例：传入一个用户可控的跳转链接
立即学习“go语言免费学习笔记（深入）”；
data := struct {
RedirectURL template.URL
}{
RedirectURL: template.URL("https://example.com?x=" + url.QueryEscape(userInput)),
}
模板中写 <a href="%7B%7B.RedirectURL%7D%7D"></a>，模板引擎才敢放行；如果传的是普通字符串，它会把 : 和 / 都转成实体，链接就废了。
-
template.URL允许http://、https://、//、/开头，其余协议（如javascript:）会被清空 -
template.CSS不解析样式，只做最小化白名单过滤，别指望它防expression()或url(javascript:...) - 千万别用
template.HTML对用户输入做“信任包装”，这是最常踩的坑——它等于告诉模板：“这段我全权负责，你别管”
自定义函数怎么避免绕过转义？
注册的模板函数如果返回 string，会被当作文本再转义一次；但如果返回 template.HTML，就直接跳过所有处理——等于开了后门。
常见错误现象：写了个 highlight 函数，把关键词加 <em></em> 标签，结果用户输 <img src="x" onerror="alert(1)" alt="Golang中的模板引擎html/template实战 Go语言Web安全渲染与防XSS" >，高亮后照样执行。
- 安全做法：函数内部对输入先做净化（比如用
bluemonday库），再返回template.HTML；或者干脆返回string，让模板兜底转义 - 参数差异：接收
string比接收template.HTML更安全，后者意味着你已承诺内容可信 - 兼容性注意：Go 1.22+ 对
template.FuncMap中函数的返回类型检查更严格，非string/template.*类型可能 panic
HTML 属性里动态拼接 class 怎么写才不出问题？
别用 class="{{.A}} {{.B}}" 直接拼，万一 .A 是 "foo onload=alert(1)"，就漏了。
正确思路是：服务端组合好 class 名，确保只含字母、数字、短横线和下划线，再传给模板。
- 推荐工具：用
strings.Map或正则预处理，例如regexp.MustCompile(`[^a-zA-Z0-9_-]+`).ReplaceAllString(class, "") - 不要依赖前端 JS 做 class 过滤，XSS 已经在服务端渲染时发生了
- 如果必须动态计算，封装成函数返回
template.CSS（虽然它不校验 class，但至少阻止注入引号和等号）
真正难的不是写对一行模板，而是每次插入外部数据前，都得问一句：这个值最终落在哪个上下文？HTML 文本？属性值？JS 字符串？URL 参数？漏掉一个，防线就断了。
