够用，但仅限模板内插值且需避免绕过；若使用template.HTML、html.UnescapeString或拼接字符串再传入，转义即失效，易致XSS。
Go html/template 默认转义真的够用吗
够用，但只对模板内插值生效，且依赖你**不绕过它**。一旦用了 template.HTML、html.UnescapeString 或拼接字符串再塞进模板，转义就失效了。
常见错误现象：{{ .UserInput }} 显示正常，但 {{ .UnsafeHTML }}（类型是 template.HTML）直接执行 JS；或者后端拼了 "<div>" + userInput + "</div>" 再传给模板，XSS 立刻复活。
- 必须确保所有用户输入都以原始字符串（
string）传入模板，不要提前转成template.HTML - 避免在 handler 里用
html.UnescapeString处理输入后再渲染——这等于主动解码恶意字符 -
html/template对url、css、js上下文有不同转义规则，但不会自动识别上下文，所以别在href="{{ .URL }}"里塞未校验的跳转地址
哪些地方必须额外做输入过滤（不能只靠模板）
模板转义解决的是「输出时怎么安全显示」，不是「输入时怎么拒绝危险内容」。只要数据会存库、参与路由、拼进 SQL、写进 HTTP Header、或用于 os/exec，就必须在进入业务逻辑前清洗或校验。
使用场景举例：用户提交的 bio 字段要显示在个人页（模板转义管用），但如果还用于生成 Open Graph 标签的 og:description meta 属性（仍是 HTML 上下文），也 OK；但若这个字段被拼进 exec.Command("sh", "-c", "echo "+bio)，那就完全失控了。
立即学习“go语言免费学习笔记（深入）”；
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
- 存入数据库前，对富文本字段用白名单过滤（推荐
microcosm-cc/bluemonday），普通字段用正则限制字符集（如昵称只允许中文、英文、数字、短横线） - 用于构造重定向 URL 时，必须用
net/url.Parse解析再检查Host和Scheme，禁止直接拼接r.FormValue("next") - 写入
Set-Cookie或LocationHeader 前，必须校验是否含换行符（\n/\r），否则触发 CRLF 注入
text/template 和 html/template 混用会出什么问题
混用本身不报错，但语义错乱：用 text/template 渲染 HTML 页面，等于主动关掉所有转义；反过来把 html/template 用来生成 JSON 或 CSV，会把引号、斜杠全转义，导致格式损坏。
错误现象：text/template 里写 {{ .Name }}，输入 O'Reilly 渲染成 O'Reilly（没转义单引号），浏览器可能解析失败；或者用 html/template 生成 JSON：{"name": "{{ .Name }}"}，结果得到 {"name": "O'Reilly"}，前端 JSON.parse 直接报错。
- 生成 HTML / XML 页面？只用
html/template - 生成纯文本、JSON、邮件正文、SQL 片段？只用
text/template，并自行对敏感位置做转义（如 JSON 用json.Marshal，SQL 用参数化查询） - 不要为“省事”在
html/template里调printf "%s"来绕过转义——这和不用模板没区别
前端 JS 里插入 Go 模板变量的风险点
这是最隐蔽的 XSS 高发区：模板看似安全，但你把它当 JS 字符串用，就等于把转义后的 HTML 实体直接喂给 eval 或 innerHTML。
比如模板里写：<script>var name = "{{ .Name }}";</script>，输入 "); alert(1); //，渲染后变成：var name = """); alert(1); //";，JS 语法破坏，XSS 触发。
- 永远不要把模板变量直接插进
<script></script>块的裸字符串里 - 正确做法：用
json.Marshal序列化后传给 JS（var data = {{ .JSONData }};），或通过data-属性传递：<div id="app" data-name="{{ .EscapedName }}">，再用 JS 读取 <li>如果必须动态生成 JS，用 <code>js.Marshal（来自encoding/json）而不是自己拼字符串——它会处理引号、反斜杠、Unicode 控制字符
真正麻烦的从来不是“该不该转义”，而是「在哪一层转、转给谁看、转完还去哪了」。漏掉任意一环，前面所有防护都归零。
