Go SSR关键在于避免handler内Parse模板、禁用text/template渲染用户内容、数据库查询设超时；template.ParseFiles报"undefined"主因是加载顺序错乱或未用{{define}}声明子模板，须确保首文件为根模板并显式命名。
Go 没有内置 SSR 框架，但用 html/template + 显式数据流 + 静态资源托管，就能跑出真实生产级 SSR 性能。关键不是“选哪个框架”，而是避免三个常见动作：在 handler 里动态 Parse 模板、用 text/template 渲染用户内容、不设超时就查数据库。
template.ParseFiles 为什么总 panic "undefined"？
根本原因不是模板写错了，而是加载顺序和命名没对齐。Go 的模板系统不会自动把文件名当模板名，它只认 {{define}} 块和 ParseFiles 参数列表里的第一个文件名。
-
ParseFiles("header.html", "index.html")→ 根模板名是"header.html"，index.html里所有{{template "xxx"}}都得提前在某个已加载文件中用{{define "xxx"}}声明 - 更稳的做法：
t := template.New("root").Funcs(funcMap).ParseFiles("base.html", "header.html", "index.html")，显式指定根名，避免隐式推导 - Windows 下路径别硬写
"./templates/header.html"，改用filepath.Join("templates", "header.html") - 开发时加一行
if t == nil { log.Fatal(err) }，别让错误静默吞掉
如何安全传结构体进模板并防 XSS？
字段没导出、类型用错、HTML 注入绕过转义——这三个问题占 SSR 安全失败的 80%。Go 的 html/template 转义很严格，但前提是用对了类型和上下文。
- 结构体字段必须首字母大写：
Title string✅，title string❌（模板取不到值，也不报错，静默失败） - 富文本内容必须用
template.HTML类型：BodyHTML template.HTML，而不是string强转 ——template.HTML(myStr)安全，(template.HTML)(myStr)可能 panic - 用户输入内容绝不能走
safeHTML过滤器，哪怕加了html.EscapeString也得先过滤 script/style 标签；可信内容才用{{.Content | safeHTML}} -
URL、class、style等不同上下文，html/template自动适配转义规则，别手动url.QueryEscape
高并发下 tmpl.Execute 怎么不 panic 不卡死？
模板执行出错时，http.ResponseWriter 可能已写入部分响应头，再调 http.Error 就 panic；大页面反复 new bytes.Buffer 会触发 GC 尖峰。
立即学习“go语言免费学习笔记（深入）”；
- 必须包一层
defer func() { if r := recover(); r != nil { http.Error(w, "Internal Server Error", http.StatusInternalServerError) } }() - 别在 handler 里 new
bytes.Buffer，改用sync.Pool管理：var bufferPool = sync.Pool{New: func() interface{} { return new(bytes.Buffer) }} - 数据库或外部 API 调用务必设 context 超时：
ctx, cancel := context.WithTimeout(r.Context(), 2*time.Second)，查不到就 fail fast - 静态资源路径（如
/static/js/app.js）哈希值提前算好注入模板，别每次渲染都os.Stat
Googlebot 能抓到你 SSR 的 HTML 吗？
能，但只看你返回的原始响应体——它不执行 JS，不等 hydration，不读 data-ssr 属性。很多“SSR 页面 SEO 不行”其实是响应头或 HTML 结构出了问题。
- 响应头
Content-Type必须是text/html; charset=utf-8，不是application/json或空 -
<title>、<meta name="description">必须由服务端结构体注入，不能靠客户端 JS 改document.title - 模板里不能只放
<div id="app"></div>，Googlebot 看不到里面的内容 - SEO 元信息建议定义为结构体字段（如
Description string），别用map[string]string—— 类型不安全，IDE 提示不了，重构易漏
真正难的不是写一个能返回 HTML 的 handler，而是让每个路由都稳定控制数据获取耗时、模板执行不 panic、静态资源路径不 404、SEO 标签不被覆盖。这些点串起来，才是 SSR 在 Go 里落地的真实成本。
