当前位置：首页 > 文章列表 > Golang > Go教程 > Go html/template 怎么安全把后端数据交给前端：别把 JSON 硬塞进 template.JS

Go html/template 怎么安全把后端数据交给前端：别把 JSON 硬塞进 template.JS

来源：17golang原创 2026-07-17 12:50:07 0浏览收藏

做 Go 服务端渲染时，首屏经常要把用户信息、功能开关和分页条件交给一小段前端脚本。数据里一旦出现引号、换行或尖括号，很多人会先 json.Marshal，再把结果转成 template.JS 塞进页面。页面看起来立刻正常了，但这一步也绕开了 html/template 原本替你做的上下文转义。

要点速览

把 Go 结构体直接放在普通的 JavaScript 值位置，html/template 会按上下文生成可用的 JSON。
不要把来自请求、数据库或第三方接口的 JSON 仅靠转为 template.JS 标记成安全内容。
页面只需要一个短字段时，data-user-id 这类属性比塞一整段初始化对象更直观。
回归时要带上引号、片段和 Unicode 字符，确认页面没有长出额外标签或截断脚本。

问题不在 JSON，而在它被放进了哪个上下文

先看一个常见场景：服务端想让浏览器拿到当前用户和实验开关，于是在模板里写 const pageData = {{ .Page }};。这不是简单的字符串替换。html/template 会识别当前动作位于 JavaScript 上下文；传入的是结构体或 map 时，它会生成适合该位置的 JSON。这个能力的前提是模板由可信开发者编写，而渲染数据可以是不可信的。

真正危险的捷径是把一段外部 JSON 直接包装成 template.JS。这个类型表示“已知安全的 JavaScript 表达式”，责任随之落到调用方。官方文档明确提醒：即便 JSON 在语法上有效，只要数据不可信，就不该因为它像 JSON 而跳过模板的处理。

最小配方：让结构体进入 script 的值位置

先不要手工拼引号，也不用预先把对象编码成字符串。给视图模型一个清晰的边界，再把它直接交给模板。下面是模板片段与数据类型；项目里的渲染入口照常把 Page 作为数据的一部分传入即可。

package view

import "html/template"

type User struct {
	ID   int    `json:"id"`
	Name string `json:"name"`
}

type PageData struct {
	User  User     `json:"user"`
	Flags []string `json:"flags"`
}

type PageModel struct {
	Page PageData
}

const pageHTML = `
`

func parsePage() (*template.Template, error) {
	return template.New("profile").Parse(pageHTML)
}

关键是 {{ .Page }} 前后没有再包一层手写引号。PageData 不是普通文本，它在脚本值位置被模板按 JavaScript 规则处理。先在本地用用户名 Li "A"、和包含换行的备注走一遍页面：浏览器应该拿到同一个数据值，但 DOM 中不能多出一段意外的标签或脚本。

Go 结构体经过 html/template 进入 pageData 并被浏览器安全读取的低饱和时间线图 — 结构体不是先变成一段可拼接文本，而是让模板根据 script 的上下文把数据交给 pageData。

前端读取时，把初始化对象当数据而不是模板碎片

有了 pageData，前端代码就按普通对象读取。这个阶段最容易被忽略的细节是：把数据用于 textContent、属性赋值或受控的组件状态，而不是拿字符串再拼一段 HTML。这样前后端的责任也更清楚——Go 负责输出结构化初始数据，浏览器代码负责按 DOM API 渲染。

const badge = document.querySelector("#profile");

if (pageData.flags.includes("beta")) {
  badge.dataset.mode = "beta";
}

badge.textContent = `${pageData.user.name} #${pageData.user.id}`;

这一步可以顺手做一个核对：打开浏览器开发者工具，确认 pageData 是对象而不是一串双重编码的 JSON 字符串；再确认页面显示的是原始文字，不是 " 一类转义残留。若拿到的是字符串，通常是某层又做了一次 json.Marshal，而不是模板失效。