Go语言标准模板引擎在处理HTML <script type="text/template"> 内部的双花括号语法时存在已知转义缺陷，会导致第二次及后续出现的 {{.field}} 被错误包裹双引号，该问题源于Go 1.6及更早版本的html/template自动上下文感知机制误判——已在Go 1.7中修复。
go语言标准模板引擎在处理html `<script type="text/template">` 内部的双花括号语法时存在已知转义缺陷，会导致第二次及后续出现的 `{{.field}}` 被错误包裹双引号，该问题源于go 1.6及更早版本的`html/template`自动上下文感知机制误判——已在go 1.7中修复。</script>
在基于 Gin 框架的 Go Web 开发中，常需将服务端数据注入 HTML 模板，同时兼顾前端框架（如 Angular.js、Vue.js）所需的客户端模板语法。当服务端模板与前端模板共存于同一 HTML 文件时，一个典型陷阱便浮现：Go 的 html/template 包会主动对模板动作（如 {{.domain}}）执行上下文敏感的自动转义——而它无法正确识别 <script type="text/template"> 这类非执行型脚本块中的内容本质是“纯文本模板”，而非待渲染的 HTML/JS。
这直接导致你观察到的现象：
<script type="text/template" charset="utf-8">
<div data="{{.scheme}}://{{.domain}}/qr"></div>
<div data="{{.scheme}}://{{.domain}}/qr"></div>
</script>经 Go 模板引擎渲染后，第二处 {{.domain}} 被错误地包裹了双引号，输出为：
<div data="http://"meican.loc"/qr"></div>
? 根本原因：
Go 的 html/template 在解析嵌套模板动作时，会维护一个内部的“转义状态栈”。当首次遇到 {{.domain}} 并插入到 data="..." 属性值中时，它正确执行 URL 上下文转义；但在第二次出现时，因状态同步逻辑缺陷（Go issue #14336），错误地将字符串值再次以 HTML 属性上下文重转义，导致双引号被重复插入。
✅ 可靠解决方案（兼容 Go 1.4–1.6）：
立即学习“前端免费学习笔记（深入）”；
方案一：使用 text/template 替代 html/template（推荐）
Gin 默认使用 html/template 加载模板。若模板中明确包含前端模板片段，应改用不自动转义的 text/template，并手动确保关键输出安全：
package main
import (
"html/template"
"net/http"
"github.com/gin-gonic/gin"
)
func main() {
router := gin.Default()
// 使用 text/template 显式加载，禁用自动 HTML 转义
t := template.Must(template.New("").ParseFiles("templates/index.html"))
router.SetHTMLTemplate(t)
router.GET("/index", func(c *gin.Context) {
c.HTML(http.StatusOK, "index.html", gin.H{
"scheme": "http",
"domain": "meican.loc",
})
})
router.Run(":8089")
}⚠️ 注意：此时 {{.domain}} 不再自动转义，务必确保传入的 domain 值可信且无恶意字符（如 <, ", &）。生产环境建议配合白名单校验：
import "regexp"
var domainRe = regexp.MustCompile(`^[a-zA-Z0-9.-]+\.[a-zA-Z]{2,}$`)
func isValidDomain(d string) bool {
return domainRe.MatchString(d)
}
// 使用前校验：if !isValidDomain(domain) { /* reject */ }方案二：HTML 注释隔离法（零侵入）
在重复变量前插入 HTML 注释，干扰模板引擎的状态跟踪（适用于无法修改 Go 代码的场景）：
<script type="text/template" charset="utf-8">
<div data="{{.scheme}}://{{.domain}}/qr"></div>
<!-- gin-template-fix -->
<div data="{{.scheme}}://{{.domain}}/qr"></div>
</script>方案三：升级 Go 版本（长期最优）
该问题已在 Go 1.7+ 完整修复（CL 14336）。强烈建议升级至 Go 1.19 或更新的稳定版，既获得修复，也享受安全补丁与性能优化。
? 总结建议：
- 短期项目：采用 text/template + 输入校验；
- 长期维护：升级 Go 至 1.19+，并保持 html/template 的安全性优势；
- 永远避免在 html/template 中混用前端模板语法——如必须共存，优先将前端模板外置为 .html 文件或通过 AJAX 加载。
此问题并非 Gin 框架缺陷，而是底层 Go 模板引擎的历史行为。理解其上下文转义机制，是写出健壮混合模板系统的关键。
