Go模板引擎防XSS安全渲染指南

• 使用场景：所有动态插入用户输入的地方，尤其是 href、src、style、on* 事件属性
• html/template 的转义逻辑绑定在「上下文」上：文本内容 → 转义 < >；属性值（双引号内）→ 转义 " 和 &；但不会处理 javascript: 协议或 CSS 表达式
• 性能影响几乎为零，但误用 text/template 替代 html/template 会导致全量不转义，风险直线上升

怎么安全地插入 URL、CSS、JS 片段？

不能靠 {{.URL}} 硬塞，必须显式标注类型。Go 模板通过类型实现上下文感知，url.URL、template.URL、template.CSS、template.JS 这些类型才是“通行证”。

示例：传入一个用户可控的跳转链接

data := struct {
    RedirectURL template.URL
}{
    RedirectURL: template.URL("https://example.com?x=" + url.QueryEscape(userInput)),
}

• template.URL 允许 http://、https://、//、/ 开头，其余协议（如 javascript:）会被清空
• template.CSS 不解析样式，只做最小化白名单过滤，别指望它防 expression() 或 url(javascript:...)
• 千万别用 template.HTML 对用户输入做“信任包装”，这是最常踩的坑——它等于告诉模板：“这段我全权负责，你别管”

自定义函数怎么避免绕过转义？

注册的模板函数如果返回 string，会被当作文本再转义一次；但如果返回 template.HTML，就直接跳过所有处理——等于开了后门。

常见错误现象：写了个 highlight 函数，把关键词加 标签，结果用户输 ，高亮后照样执行。