使用Go的html/template包生成XML会导致尖括号被错误转义为
使用go的`html/template`包生成xml会导致尖括号被错误转义为`
在Go中生成符合规范的XML（如Sitemap）时，一个常见误区是直接复用 html/template 包——它专为HTML上下文设计，默认启用上下文感知的自动转义（auto-escaping），会将 <、>、& 等字符转义为 、&，以防范XSS攻击。但XML并非HTML，这种转义会使XML文档语法失效，导致解析器拒绝加载（例如浏览器或搜索引擎爬虫报“invalid markup”错误）。
✅ 正确方案一：切换至 text/template
text/template 是 html/template 的底层基础包，不执行任何自动转义，完全信任开发者输入的内容。对于纯XML、JSON、配置文件等非HTML文本生成场景，它是更安全、更合适的选择。
以下是修复后的示例代码：
package main
import (
"bytes"
"fmt"
"text/template" // ← 关键：替换为 text/template
)
const tmplStr = `{{define "indexSitemap"}}<?xml version="1.0" encoding="UTF-8"?>
<sitemapindex xmlns="http://www.sitemaps.org/schemas/sitemap/0.9">
{{range .Sitemaps}}
<sitemap>
<loc>{{.Loc}}</loc>
</sitemap>
{{end}}
</sitemapindex>{{end}}`
type SitemapEntry struct {
Loc string
}
type SitemapData struct {
Sitemaps []SitemapEntry
}
func main() {
tmpl, err := template.New("sitemap").Parse(tmplStr)
if err != nil {
panic(err)
}
data := SitemapData{
Sitemaps: []SitemapEntry{
{Loc: "https://www.test.com/sitemap.xml"},
{Loc: "https://www.test.com/events-sitemap.xml"},
{Loc: "https://www.test.com/gamesAndTeams-sitemap.xml"},
},
}
buf := new(bytes.Buffer)
if err := tmpl.ExecuteTemplate(buf, "indexSitemap", data); err != nil {
panic(err)
}
fmt.Println(buf.String())
}✅ 输出将严格保持原始XML结构（含未转义的 < 和 >），可被标准XML解析器正确读取。
立即学习“前端免费学习笔记（深入）”；
⚠️ 注意事项与最佳实践
- 不要混用 html/template 生成XML：即使省略 <?xml ...?> 声明（如答案中提到的“去掉 ? 可临时绕过”），也属不可靠行为，且违反设计契约，未来版本可能修复该边缘表现，导致隐性故障。
-
手动保障XML内容安全：text/template 不转义，意味着你必须确保所有动态插入的字段（如 .Loc）本身不含非法XML字符（如未转义的 <, &, ]]> 等）。若数据来源不可信（如用户输入），应在注入模板前进行预处理：
- 使用 xml.EscapeText()（来自 encoding/xml 包）对字符串转义；
- 或自定义模板函数（如 func xmlEscape(s string) string { ... }）并注册到模板中。
-
更推荐：结构体 + encoding/xml 序列化（生产首选）
对于Sitemap这类有明确Schema的XML，直接定义Go结构体并使用 encoding/xml 库序列化，既类型安全、又零转义风险，还能天然支持XML声明、命名空间、属性等高级特性：
type SitemapIndex struct {
XMLName xml.Name `xml:"sitemapindex"`
XMLNS string `xml:"xmlns,attr"`
Sitemaps []SitemapEntry `xml:"sitemap"`
}
type SitemapEntry struct {
Loc string `xml:"loc"`
}
// 使用方式：
// sitemap := SitemapIndex{XMLNS: "http://www.sitemaps.org/schemas/sitemap/0.9", ...}
// xmlBytes, _ := xml.MarshalIndent(sitemap, "", " ")总结
- 根本原因：html/template 的HTML专用转义机制与XML语义冲突；
- 快速修复：将导入从 "html/template" 改为 "text/template"；
- 长期建议：优先采用 encoding/xml 进行强类型XML生成，兼顾安全性、可维护性与标准兼容性；
- 安全底线：无论使用哪种方式，对不可信输入务必做XML合规性校验或转义，杜绝注入风险。
