使用html/template自动转义、bluemonday过滤富文本、设置CSP等HTTP安全头是Golang防范XSS的核心措施，需在输出与输入阶段协同防御。
在Golang Web开发中，跨站脚本（XSS）是一种常见的安全漏洞。攻击者通过在网页中注入恶意脚本，使得其他用户在浏览页面时执行这些脚本，从而窃取Cookie、会话信息或进行钓鱼操作。为有效防护XSS，开发者需要在数据输出和输入处理阶段采取主动防御措施。
理解XSS攻击类型
XSS主要分为三类：存储型、反射型和DOM型。无论哪种形式，核心都是“不可信数据被当作可执行代码渲染”。例如，用户提交的评论内容若未经处理直接展示在页面上，就可能触发存储型XSS。Golang作为后端语言，重点在于服务端如何防止恶意内容进入输出流。
使用html/template自动转义
Golang标准库中的 html/template 包是防御XSS的核心工具。它默认对动态内容进行HTML转义，确保特殊字符如 、&、" 被转换为实体编码。
示例：
立即学习“go语言免费学习笔记（深入）”；
package main {{.Content}}
import (
"html/template"
"net/http"
)
var tmpl = `
func handler(w http.ResponseWriter, r *http.Request) {
data := struct{ Content string }{Content: "<script>alert('xss')</script>"}
t := template.Must(template.New("x").Parse(tmpl))
t.Execute(w, data)
}
上述代码中，脚本标签会被自动转义为文本，不会被执行。这是最简单且高效的防护方式，前提是必须使用 html/template 而非 text/template，后者不提供自动转义功能。
对特定场景进行手动净化
当业务允许用户输入富文本（如文章内容含HTML格式），不能简单转义全部标签。此时需引入白名单机制，过滤掉危险标签和属性。
推荐使用第三方库如 github.com/microcosm-cc/bluemonday 进行HTML净化。
示例：
立即学习“go语言免费学习笔记（深入）”；
import "github.com/microcosm-cc/bluemonday"
func sanitizeInput(dirty string) string {
policy := bluemonday.UGCPolicy() // 允许常见标签如a、b、i等，移除onload、onclick等事件
return policy.Sanitize(dirty)
}
该策略允许用户发布带格式的内容，同时阻止JavaScript执行相关的风险属性。
设置安全的HTTP响应头
配合内容安全策略（CSP）可进一步降低XSS影响。即使有脚本注入，CSP能阻止其执行。
在Golang中设置响应头：
w.Header().Set("Content-Security-Policy", "default-src 'self'; script-src 'self'")
w.Header().Set("X-Content-Type-Options", "nosniff")
w.Header().Set("X-Frame-Options", "DENY")
这些头部限制资源加载来源，防止MIME嗅探和页面被嵌套，形成多层防护。
基本上就这些。关键是在输出时始终使用安全模板，对富文本做严格过滤，并辅以安全头增强整体防御能力。不复杂但容易忽略细节。
