Go JSON字符串自动转义HTML字符的关闭边界

Go 的 encoding/json 把字符串里的 、>、& 输出成 \\u003c、\\u003e、\\u0026，通常不是数据损坏，而是默认的 HTML 安全处理。判断是否关闭的关键不在“看起来是否舒服”，而在 JSON 会不会被放进 HTML 的 上下文。

默认转义解决的是嵌入上下文，不是 JSON 语法

标准库文档说明，v1 的字符串编码会对 HTML/JavaScript 相关字符做转义，目的是降低 JSON 直接放进 HTML 脚本块时的风险。转义后的内容仍然是合法 JSON，消费者解析后拿到的字符串也会还原为原字符，所以接口双方不应把 \\u003c 当成业务值。

json.Marshal 适合直接得到字节切片，但它没有对应的 SetEscapeHTML 参数。需要改变策略时，应改用流式编码器，并在输出前明确它的消费位置。

非 HTML 输出如何保留 JSON 字符原貌

例如日志采集器需要让 JSON 更接近人工阅读，或签名流程要求固定的可见文本，可以在创建编码器后关闭 HTML 转义：

package main

import (
    "bytes"
    "fmt"
    "log"
    "encoding/json"
)

func main() {
    payload := map[string]string{"html": "Go"}
    var buf bytes.Buffer
    enc := json.NewEncoder(&buf)
    // 仅用于非 HTML 消费者，保留字符串中的可读字符。
    enc.SetEscapeHTML(false)
    // Encode 会追加换行；错误必须在发布或写日志前处理。
    if err := enc.Encode(payload); err != nil {
        log.Fatal(err)
    }
    fmt.Print(buf.String())
}

这里的结果会保留字符串里的尖括号和与号，但仍然是 JSON 字符串，不会把内容变成 HTML。若下游把这段文本重新插入页面，关闭动作不会替你完成 HTML 上下文的安全编码。

按输出场景选择默认值还是关闭选项

我更倾向于把这个选择封装在边界函数里，而不是在业务代码中到处调用 SetEscapeHTML(false)。函数名可以体现用途，例如 EncodeLogJSON，这样调用者不会误以为“关闭转义”是通用优化。

上线前用四项检查避免误用

1. 确认接收方拿到的是 JSON 数据、日志文本还是会被浏览器解释的 HTML。
2. 确认是否有签名、缓存键或快照测试依赖字节级输出；有依赖时先统一序列化策略。
3. 确认测试同时覆盖 、>、& 和 Unicode 行分隔符等边界字符。
4. 确认关闭选项只存在于明确的非 HTML 边界，避免被复制到模板渲染路径。

结论很简单：默认转义是上下文保护，不是 JSON 的多余噪声。只有当输出明确不会进入 HTML/JavaScript，并且原字符对可读性或协议一致性有价值时，才使用 SetEscapeHTML(false)。

相关问题

json.Marshal 能直接关闭 HTML 转义吗？

不能。它使用默认行为；需要关闭时改用 json.NewEncoder 并调用 SetEscapeHTML(false)。

转义后的 \\u003c 会被 Go 客户端正确解析吗？

会。它是 JSON 字符串中的 Unicode 转义，正常反序列化后仍是原来的小于号。

关闭转义能防止接口返回 HTML 注入吗？

不能。它只改变 JSON 序列化表现；如果数据会进入 HTML，应该保留默认转义并在模板边界继续使用正确的上下文编码。