Go语言字符串安全传输的核心是上下文感知的自动转义，html/template已覆盖多数场景；手动调用html.EscapeString会破坏上下文判断且无效防XSS，富文本须用bluemonday白名单过滤后配合template.HTML输出。
Go 语言里字符串的安全传输，核心不是“怎么转义”，而是“在哪转、用什么类型转、谁来决定是否可信”。html/template 的自动转义已经覆盖绝大多数场景，但一旦你手动介入（比如调用 html.EscapeString 或包装 template.HTML），就极可能绕过安全机制，反而引入 XSS。
为什么不能在入库前或传入模板前调用 html.EscapeString
html.EscapeString 只转义 、<code>>、"、'、& 这 5 个字符，对 javascript:alert(1)、onerror=alert(1)、data:text/html;base64,... 完全无效。更关键的是：它破坏了 html/template 的上下文感知能力——模板不再知道这段内容该插在 HTML 内容区、属性值还是 <script></script> 块里，只能做无差别替换。
- 错误做法：
clean := html.EscapeString(userInput); t.Execute(w, struct{ Content string }{clean})→ 模板里写{{.Content}}，结果仍是纯文本，但富文本格式全丢，且仍不防伪协议 - 正确做法：直接传原始字符串，让
html/template在渲染时按位置自动转义；富文本则走白名单过滤，不是转义 - 唯一适用场景：纯文本插入
<p>...</p>这类 HTML 内容区，且确认后续不会进属性或脚本上下文
什么时候必须用 template.HTML，以及为什么它不是过滤器
template.HTML 是一个空 struct 类型别名，它的作用只有一个：告诉 html/template “这段字符串我已确认安全，跳过所有转义”。它本身不做任何清洗、校验或解析，传进去什么就原样输出。
立即学习“go语言免费学习笔记（深入）”；
- 危险误用：
template.HTML(userInput)→ 用户提交<img src="https://img.php.cn/" alt="Go语言中字符串的安全传输：HTML转义与防止XSS攻击的防护策略">就直接执行 - 正确路径：先用
bluemonday白名单过滤（如p := bluemonday.UGCPolicy(); clean := p.Sanitize(userInput)），再template.HTML(clean) - 注意：
template.HTML("")是合法的，但template.HTML("")不能为nil，否则模板执行 panic
href、src、onclick 等属性里插字符串为什么还危险
html/template 确实会对属性值做转义，但它只负责编码，不负责语义判断。比如它会把 " 转成 "，但不会拒绝 javascript: 协议，也不会拦截 expression() 这类 CSS 动态语法。
- 风险点：
href="{{.URL}}"中，若.URL是用户输入的javascript:alert(1)，转义后仍是可执行的 - 安全方案：属性值必须是结构化类型 ——
url.URL对象、或用template.URL包装；禁止拼接协议可控的字符串 - 额外校验：服务端应白名单限制协议（仅允许
http、https、/、#），并确保引号闭合（href="{{.URL}}"不要写成href={{.URL}}）
富文本场景下，bluemonday 过滤和 template.HTML 的配合顺序
富文本不是“要不要转义”的问题，而是“谁来定义什么是安全”的问题。bluemonday 是目前 Go 生态最成熟的白名单 HTML 过滤库，它基于真实 HTML 解析器，能处理嵌套、大小写混用、编码绕过等真实攻击手法。
- 必须在 handler 层完成过滤：
clean := policy.Sanitize(userInput)，再构造数据传给模板 - 模板中只写
{{.SafeContent}}，其中SafeContent字段类型为template.HTML - 禁止在模板里用
{{.Raw | safeHTML}}——safeHTML函数已在 Go 1.12+ 弃用，且无法做白名单过滤 - 政策选择：
bluemonday.UGCPolicy()适合博客/评论（保留p、strong、img等），bluemonday.StrictPolicy()会清空所有标签，不适合富文本
真正容易被忽略的，是上下文边界模糊带来的风险：同一个字符串，在 <div>{{.X}}</div> 里安全，在 href="{{.X}}" 里就危险，在 <script>var x = "{{.X}}";</script> 里更危险。安全不取决于字符串本身，而取决于它最终出现在哪——这个判断必须由 Go 代码（类型系统）而非正则或手动转义来完成。
