本文详细阐述了在 go 模板中将 go 对象渲染为 json 字符串时，避免自动转义并直接输出有效 json 数据的方法。通过引入 `html/template` 包中的 `template.js` 类型，我们可以确保 json 数据在 javascript 上下文中被正确解析，从而实现 go 后端与前端 javascript 之间的数据无缝传输，避免客户端进行额外的 `json.parse` 操作。
引言
在现代 Web 开发中，Go 后端常常需要将结构化数据传递给前端的 JavaScript 脚本。一种常见且高效的方式是将 Go 对象序列化为 JSON 格式，并通过 HTML 模板直接嵌入到页面中。然而，Go 的 html/template 包为了安全起见，会对输出内容进行自动转义，这可能导致嵌入的 JSON 字符串在 JavaScript 上下文中无法直接解析。本文将深入探讨这一问题，并提供一个标准且安全的解决方案。
问题所在：Go 模板的自动转义机制
当我们在 Go 模板中尝试直接打印一个经过 json.Marshal 序列化后的字符串时，html/template 包会将其中的特殊字符（如双引号 "、反斜杠 \ 等）转义为 HTML 实体或 JavaScript 字符串字面量中的转义序列。这是为了防止跨站脚本攻击（XSS），确保渲染到浏览器中的内容是安全的。
例如，如果我们有一个 Go 切片 []string{"o1", "o2"}，并使用以下 marshal 函数将其转换为 JSON 字符串：
import "encoding/json"
// 错误的 marshal 函数示例
"marshal": func(v interface {}) string {
a, _ := json.Marshal(v)
return string(a)
},并在模板中使用 {{ marshal .Arr }} 渲染，期望在前端得到 var arr=["o1","o2"] 这样的 JavaScript 数组。但实际输出很可能是 var arr="[\"o1\",\"o2\"]"。这里的整个 JSON 字符串被包裹在额外的双引号中，并且内部的双引号也被转义了，导致它成为了一个普通的 JavaScript 字符串字面量，而非一个可直接使用的 JavaScript 数组对象。前端需要额外调用 JSON.parse() 才能将其转换为 JavaScript 对象。
立即学习“Java免费学习笔记（深入）”；
解决方案：使用 template.JS 类型
Go 语言的 html/template 包提供了一个特殊的类型 template.JS，用于明确告诉模板引擎：此字符串内容是安全的 JavaScript 代码，不应进行任何转义。通过将 json.Marshal 的结果转换为 template.JS 类型，我们可以确保 JSON 数据能够以其原始、未转义的形式直接嵌入到 HTML 中，供 JavaScript 引擎直接解析和使用。
下面是修正后的 marshal 函数：
import (
"encoding/json"
"html/template" // 引入 html/template 包
)
// 正确的 marshal 函数
"marshal": func(v interface {}) template.JS {
a, _ := json.Marshal(v)
return template.JS(a) // 将字节切片转换为 template.JS 类型
},在模板中使用方式保持不变：
<script>
var arr = {{ marshal .Arr }};
console.log(arr); // 现在 arr 将是一个真正的 JavaScript 数组
</script>当 marshal 函数返回 template.JS 类型时，模板引擎会识别出这是一个“已标记为安全”的 JavaScript 内容，并会原样输出 json.Marshal 产生的 JSON 字符串。这样，前端便可以直接获得 var arr=["o1","o2"] 这样的有效 JavaScript 数组，无需额外的 JSON.parse() 操作。
重要注意事项
安全性考量： template.JS 类型的核心在于“信任”。当你使用 template.JS 时，你是在告诉 Go 模板引擎，你对这段内容的安全负责，它不会引入任何 XSS 漏洞。因此，绝不能将任何来自用户输入或其他不可信源的数据直接转换为 template.JS，除非你已经对其进行了严格的验证和净化。如果 JSON 数据中可能包含恶意脚本，直接使用 template.JS 将会带来严重的安全风险。在处理不可信数据时，优先考虑在客户端使用 JSON.parse()，或者在服务端对数据进行严格的 HTML/JavaScript 转义后再输出。
性能与便利性： 相比于在客户端使用 JSON.parse()，直接输出 template.JS 可以在一定程度上简化前端代码，并避免客户端额外的解析开销。对于大型 JSON 数据，这种方式可能带来轻微的性能优势。然而，其主要优点在于代码的简洁性和数据传输的直观性。
错误处理： 在 marshal 函数中，json.Marshal 可能会返回错误。在实际生产代码中，应该对这个错误进行妥善处理，例如返回一个空的 template.JS 或记录错误，而不是简单地忽略。
总结
在 Go 模板中嵌入 JSON 数据供 JavaScript 使用时，理解 html/template 的自动转义机制至关重要。通过将 json.Marshal 的结果包装成 template.JS 类型，我们可以安全、高效地将 Go 对象以未转义的 JSON 格式直接渲染到 HTML 页面中。然而，务必牢记 template.JS 的安全含义，确保只有经过信任和验证的数据才会被标记为安全，以避免潜在的安全漏洞。正确运用 template.JS，将极大地提升 Go 后端与前端 JavaScript 之间的数据交互体验。
