Go html/template 怎么避免用户输入被当成 HTML 执行

要避免用户输入被当成 HTML 执行，核心做法是使用 html/template，让来自请求、表单或数据库的内容保持普通 string，不要为了“保留格式”直接转换成 template.HTML。html/template 会根据数据所在的 HTML、属性、URL 或 JavaScript 上下文自动转义；只有明确可信、或已经经过可靠清洗的片段，才适合使用带类型的安全值。

先让普通输入走 html/template 的自动转义

html/template 的安全模型是：模板作者可信，传给 Execute 的数据不可信。下面的输入包含标签样式的文本，但它只是要显示的内容。

package main

import (
    "os"
    "html/template"
)

func main() {
    // 模板结构由开发者维护，数据则按不可信文本处理。
    t := template.Must(template.New("page").Parse(`
{{.Comment}}
`))
    data := struct{ Comment string }{
        Comment: ``,
    }
    if err := t.Execute(os.Stdout, data); err != nil {
        panic(err) // 输出失败时停止响应，避免继续发送不完整页面
    }
}

实际传入的字符串即使包含尖括号，也会被当作文本编码后输出。这里故意不写 template.HTML(data.Comment)，因为那会把“输入是文本”改成“输入是一段已被信任的 HTML”。

让模板上下文决定转义方式

自动转义不只是把所有字符替换成同一套实体。相同的数据放进文本节点、title 属性和 href 属性，处理方式会不同。模板应该把结构写清楚，把值作为插槽传入。

const page = `
{{.Label}}`

// Parse 阶段会根据属性上下文加入相应的转义处理。
t, err := template.New("search").Parse(page)
if err != nil {
    return err // 引号或模板结构不完整时，先修模板而不是拼字符串
}

因此不要先对值手工调用一轮 HTML 转义，再把它塞入模板；这容易造成双重编码，也会掩盖值到底属于哪个上下文。尤其是 URL 属性，协议和属性边界由 html/template 负责判断，调用方只需传入原始值。

template.HTML 只留给可信或已清洗片段

富文本展示是合理需求，但“需要保留标签”不等于“任意用户输入都可以转换成 template.HTML”。这个类型会让内容按 HTML 片段输出，文档也明确提示它只应来自可信来源或可靠清洗器。

type ViewData struct {
    Plain string
    Rich  template.HTML
}

data := ViewData{
    Plain: userComment, // 用户原文仍然是普通字符串
    Rich:  template.HTML(`官方公告`), // 只放代码内可信片段
}

// 不要把 userComment 强制转换为 template.HTML。
err := tmpl.Execute(w, data)
if err != nil {
    http.Error(w, "render failed", http.StatusInternalServerError) // 统一处理渲染错误
}

如果富文本来自用户，先在边界层做允许标签、属性和协议的清洗，再把清洗结果封装成明确的可信类型，并记录这条转换的责任方。没有清洗步骤时，宁可显示转义后的纯文本。

用最小测试锁住“转义”和“放行”的区别

排查模板问题时，至少覆盖三种输入：带尖括号的普通文本、进入属性的文本，以及明确可信的 HTML 常量。测试的重点不是比较某个版本的全部实体细节，而是确认普通输入没有改变结构、可信片段才保留标签。

func TestTemplateBoundary(t *testing.T) {
    tmpl := template.Must(template.New("x").Parse(`{{.}}`))
    var out bytes.Buffer
    if err := tmpl.Execute(&out, `用户输入`); err != nil {
        t.Fatal(err) // 模板执行错误应让测试直接失败
    }
    if strings.Contains(out.String(), `用户输入`) {
        t.Fatal("普通输入不应保留为 HTML 标签")
    }
}

上线前可以再检查一次数据类型：请求参数、评论、昵称和数据库中的原始字段都不应在业务层随意变成 template.HTML。把可信转换集中在少数函数里，代码审查时更容易看出哪里跨过了安全边界。

相关问题

html/template 和 text/template 怎么选？

输出 HTML 时选 html/template；text/template 不提供同样的 HTML 自动转义，适合纯文本、配置或其他非 HTML 输出。

为什么页面显示了 < 之类的实体？

通常是值已经被手工转义，又经过模板再次转义。让普通原始字符串直接进入正确的模板上下文，避免重复调用转义函数。

富文本一定不能使用 template.HTML 吗？

可以使用，但前提是内容来自可信常量，或已经经过可靠 HTML 清洗，并且清洗边界清晰可审查。用户原始输入不能直接转换。