html/template 默认转义以确保HTML输出安全，将变量视为纯文本并自动调用html.EscapeString；text/template无上下文感知，仅做原始字符串替换。
为什么 html/template 默认转义，而 text/template 不转义
因为 html/template 的设计目标就是安全地渲染 HTML 内容，它把所有变量插值（{{.Name}}）默认当成纯文本处理，自动调用 html.EscapeString；text/template 没有上下文感知能力，只做字符串替换，不区分 HTML 标签、属性、JS 或 CSS 上下文。
常见错误现象：html/template 里直接写 {{.HTML}}，结果看到 <strong>Hello</strong> 被原样显示，而不是加粗效果——这不是 bug，是预期行为。
- 使用场景：只要输出最终要嵌入浏览器 HTML 页面的模板，就该用
html/template - 参数差异：
html/template支持template.HTML类型绕过转义；text/template没这个机制 - 性能影响：转义开销极小，现代 Go 版本下基本可忽略
怎么安全地插入已知可信的 HTML 片段
必须显式告诉模板：“这段内容我确认是安全的 HTML”，否则永远会被转义。核心是类型转换，不是函数调用。
常见错误现象：用 strings.Replace 拼接 HTML 字符串再传给模板，或试图在模板里用 {{printf "%s" .HTML}} 绕过——都不行，只有 template.HTML 类型能被识别为“跳过转义”。
立即学习“go语言免费学习笔记（深入）”；
- 正确做法：在 Go 代码中把字符串转成
template.HTML类型：data := struct { SafeHTML template.HTML }{ SafeHTML: template.HTML(`<em>trusted</em>`), } - 不要在模板里用
{{.SafeHTML | safeHTML}}——safeHTML是旧版遗留函数，Go 1.12+ 已弃用，且仅对html/template有效，容易误用到text/template中报错 - 兼容性注意：
template.HTML是一个空 struct 类型别名，零值是空字符串，不能用nil初始化
在 HTML 属性、JS、CSS 等不同上下文中，转义规则不一样
html/template 不是简单地全局替换 为 <code>，而是根据插入位置动态选择转义策略。比如写进 <code>href="..." 和 onclick="..."，它会分别做 URL 编码和 JS 字符串转义。
常见错误现象：手动拼接 href="{{.URL}}"，但 .URL 含 " 或 <，结果破坏 HTML 结构；或者把 JSON 数据 {{.Config}} 直接塞进 <script></script>，导致 JS 语法错误。
- 属性值中插入：确保变量是纯 URL（如
url.URL类型）或已用url.QueryEscape处理，否则用template.URL类型包装 - JS 上下文中：用
template.JS包装字符串，避免引号/反斜杠引发解析错误 - CSS 中：用
template.CSS，防止注入恶意样式（如expression(...)） - 绝对不要用
template.HTML去包装用户输入的任意内容——哪怕你“觉得”它只是个链接
为什么 template.Execute 报错 “html/template: “xxx” is not defined”
这是模板未正确解析或嵌套定义缺失的典型提示，跟 XSS 防御无关，但常发生在重构模板时疏忽了定义顺序。
常见错误现象：主模板里 {{template "header"}}，但子模板 "header" 在另一个文件里没被 ParseFiles 加载，或用 New 创建了新模板却没 Funcs/Delims 同步配置。
- 执行前务必检查：
template.Must(template.New("main").ParseFiles("layout.html", "header.html"))，所有依赖模板都得列进去 - 如果用
template.ParseGlob，路径通配需精确匹配，**/*.html在某些 Go 版本不支持，建议用templates/*.html - 自定义函数（如
truncate）必须通过Funcs显式注册，且注册要在Parse之前，否则运行时报同名错误
最易被忽略的是：模板中引用了未定义的 block 或 with 变量作用域外的字段，错误信息里那个 “xxx” 往往是字段名而非模板名，得顺着报错位置查结构体定义是否漏了导出字段（首字母大写）。
