当前位置：首页 > 文章列表 > Golang > Go教程 > Go中安全输出JSON不转义方法

Go中安全输出JSON不转义方法

2025-12-02 19:03:38 0浏览收藏

本文深入探讨了在Go语言中使用`html/template`包安全输出JSON数据时避免转义问题的关键技巧。默认情况下，Go模板引擎会对输出内容进行自动转义，这会导致JSON字符串在前端被错误地解析为字符串，增加了前端处理的复杂性。为了解决这个问题，本文重点介绍了如何利用`template.JS`类型，将JSON数据标记为安全的JavaScript代码，从而指示模板引擎不对其进行转义。通过使用`template.JS`，我们可以确保JSON数据以原始形式直接输出到客户端，无需额外的`JSON.parse()`操作，简化了前端开发流程，并提高了代码执行效率。但同时强调了安全性，确保传递给`template.JS`的内容是可信的，以避免潜在的XSS漏洞。

Go模板中安全地输出JSON数据：避免字符串转义问题

本教程旨在解决在Go模板中将Go对象转换为JSON字符串时遇到的转义问题。通过介绍`html/template`包的安全机制，我们将演示如何使用`template.JS`类型确保JSON数据以未转义的原始形式输出到客户端，从而避免在前端进行额外的`JSON.parse`操作。

理解Go模板的自动转义机制

在使用Go的html/template包渲染Web页面时，模板引擎会默认对输出内容进行自动转义，以防止跨站脚本攻击（XSS）。这意味着，当你在模板中打印一个普通的Go字符串时，例如一个JSON字符串，其中的特殊字符（如双引号"、反斜杠\等）会被转换成HTML实体或JavaScript字符串字面量中的转义序列。

例如，如果你期望在JavaScript代码中获得一个原始的JSON数组var arr=["o1","o2"]，但由于自动转义，你可能会得到一个被双引号包围且内部字符被转义的字符串var arr="[\"o1\",\"o2\"]"。这种情况下，前端JavaScript代码需要额外调用JSON.parse()来将其转换回可用的JSON对象，增加了不必要的开销和复杂性。

错误的JSON输出方式及其问题

考虑以下场景，我们有一个Go切片，并希望将其作为JSON数组直接嵌入到HTML模板的JavaScript部分：

package main

import (
    "encoding/json"
    "html/template"
    "log"
    "net/http"
)

// 假设我们有这样一个数据结构
type PageData struct {
    Arr []string
}

// 错误的marshal函数：返回普通字符串
func marshalString(v interface{}) string {
    a, err := json.Marshal(v)
    if err != nil {
        log.Printf("Error marshaling: %v", err)
        return ""
    }
    return string(a)
}

func main() {
    tmpl := template.New("index.html").Funcs(template.FuncMap{
        "marshal": marshalString, // 注册错误的marshal函数
    })
    tmpl, err := tmpl.Parse(`
        <!DOCTYPE html>
        <html>
        <head>
            <title>JSON Output Test</title>
        </head>
        <body>
            <script>
                // 期望：var arr=["item1","item2"]
                // 实际：var arr="[\"item1\",\"item2\"]"
                var arr = {{ marshal .Arr }};
                console.log(typeof arr, arr);
                // 如果是字符串，需要手动解析
                // var parsedArr = JSON.parse(arr);
                // console.log(typeof parsedArr, parsedArr);
            </script>
        </body>
        </html>
    `)
    if err != nil {
        log.Fatalf("Error parsing template: %v", err)
    }

    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        data := PageData{
            Arr: []string{"item1", "item2"},
        }
        if err := tmpl.Execute(w, data); err != nil {
            http.Error(w, err.Error(), http.StatusInternalServerError)
        }
    })

    log.Println("Server listening on :8080")
    log.Fatal(http.ListenAndServe(":8080", nil))
}

当上述代码运行时，浏览器中生成的JavaScript代码会是：

var arr = "[\"item1\",\"item2\"]";
console.log(typeof arr, arr); // 输出: string ["item1","item2"]

这里的arr是一个JavaScript字符串，而不是一个JavaScript数组。这是因为marshalString函数返回的是一个普通的Go string类型，Go模板引擎在将其嵌入到JavaScript上下文中时，为了安全起见，对其进行了转义处理。

正确的解决方案：使用 template.JS 类型

为了告诉Go模板引擎某个字符串内容是安全的JavaScript代码，不应进行转义，我们需要使用html/template包中提供的特殊类型template.JS。当模板遇到template.JS类型的值时，它会直接输出其底层字符串内容，而不会进行任何转义。

修改marshal函数，使其返回template.JS类型：

package main

import (
    "encoding/json"
    "html/template" // 引入html/template包
    "log"
    "net/http"
)

// 假设我们有这样一个数据结构
type PageData struct {
    Arr []string
}

// 正确的marshal函数：返回template.JS
func marshalJS(v interface{}) template.JS {
    a, err := json.Marshal(v)
    if err != nil {
        log.Printf("Error marshaling: %v", err)
        // 返回一个空的JS对象或数组，取决于预期
        return template.JS("null") 
    }
    return template.JS(a) // 关键：转换为template.JS类型
}

func main() {
    tmpl := template.New("index.html").Funcs(template.FuncMap{
        "marshal": marshalJS, // 注册正确的marshal函数
    })
    tmpl, err := tmpl.Parse(`
        <!DOCTYPE html>
        <html>
        <head>
            <title>JSON Output Test</title>
        </head>
        <body>
            <script>
                // 期望：var arr=["item1","item2"]
                // 实际：var arr=["item1","item2"]
                var arr = {{ marshal .Arr }};
                console.log(typeof arr, arr); // 输出: object ["item1","item2"]
                console.log(arr[0]); // 输出: item1
            </script>
        </body>
        </html>
    `)
    if err != nil {
        log.Fatalf("Error parsing template: %v", err)
    }

    http.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
        data := PageData{
            Arr: []string{"item1", "item2"},
        }
        if err := tmpl.Execute(w, data); err != nil {
            http.Error(w, err.Error(), http.StatusInternalServerError)
        }
    })

    log.Println("Server listening on :8080")
    log.Fatal(http.ListenAndServe(":8080", nil))
}

使用上述修改后的marshalJS函数后，浏览器中生成的JavaScript代码将是：

var arr = ["item1","item2"];
console.log(typeof arr, arr); // 输出: object (2) ["item1", "item2"]
console.log(arr[0]); // 输出: item1

现在，arr变量直接是一个JavaScript数组，无需额外的JSON.parse()操作。

注意事项

安全性优先： 使用template.JS意味着你明确告诉模板引擎，你所提供的内容是安全的JavaScript代码，模板引擎将不再对其进行任何转义。因此，务必确保你传递给template.JS构造函数的内容是完全可信且无害的。如果JSON数据来自用户输入或其他不可信源，并且没有经过严格的验证和清理，直接将其转换为template.JS可能会导致XSS漏洞。
适用场景： template.JS主要用于在HTML模板的