必须使用 html/template 渲染 HTML，因其支持上下文感知自动转义及 template.URL、template.JS 等安全类型；text/template 无 HTML 上下文识别能力，无法防止 XSS。
必须用 html/template 渲染 HTML，且所有用户数据必须走自动转义路径；自定义函数不能绕过上下文感知，否则 XSS 风险直接暴露。
为什么 text/template 不能用于 HTML 渲染
它不识别 HTML 上下文，也不提供 template.URL、template.JS 等类型支持。传入 "<script>alert(1)</script>" 不会转义，直接执行；写 {{.URL}} 在 href="" 中，也不会做 URL 编码——结果可能是 href="javascript:alert(1)" 被浏览器执行。
常见错误现象：
- 页面上<script>标签被真实执行，而非显示为文本</script>
- 模板里写
href="{{.URL}}"，但.URL是普通字符串，含空格或双引号，导致 HTML 结构断裂 - 用
{{.Content | safeHTML}}报错或静默失败——该函数只在html/template中存在，且 Go 1.12+ 已弃用
正确做法：导入 "html/template"，结构体字段首字母大写，数据传入后由引擎自动判断上下文并转义。
立即学习“go语言免费学习笔记（深入）”；
自定义函数如何不破坏转义链
注册到 FuncMap 的函数若返回 string，会被当作文本再次转义；若返回 template.HTML，则跳过全部处理——等于主动关闭防护。
安全实操要点：
- 函数签名必须明确，如
"datefmt": func(t time.Time) string，禁止interface{}参数 - 不返回
error，需在函数内处理异常并返回默认值（如空字符串） - 若需返回 HTML 片段，必须先净化输入（例如用
bluemonday过滤），再包装为template.HTML - 禁止在函数中调用
http.ResponseWriter.Write或修改全局状态
示例错误写法："highlight": func(s string) template.HTML { return template.HTML("<em>" + s + "</em>") } —— 用户输 <img src="https://img.php.cn/" alt="Golang基于解析函数实现动态模板引擎的数据安全渲染与防注入">，高亮后照样执行。
template.URL、template.JS 等类型怎么用才有效
这些类型不是“开关”，而是“通行证”：只有显式赋值为对应类型，引擎才按对应上下文规则放行；否则一律按最保守策略（如文本上下文）转义。
使用场景与限制：
-
template.URL只允许http://、https://、//、/开头，其余协议（如javascript:）会被清空 -
template.JS仅做 JS 字符串转义（如'→\'），不校验语法是否合法；不能把 JSON 对象直接塞进<script>{{.Config}}</script>，应改用{{.Config | json}} -
template.CSS不解析样式逻辑，只过滤危险关键字（如expression()、url(javascript:)），不防 base64 编码的 JS -
template.HTML是最危险的类型，只能用于 CMS 后台编辑器等完全可信的静态富文本，绝不能用于用户表单、API 返回、URL 参数拼接等场景
嵌套数据 + 深层访问时的性能与安全陷阱
模板运行时依赖反射读取字段、索引切片、断言接口，越深的嵌套（如 {{.User.Profile.Preferences.Theme.Color}}）或越动态的访问（如 {{index .Items $i}}），CPU 和内存开销越高，且更容易因字段未导出或 nil 指针静默失败。
建议做法：
- 提前扁平化数据结构，避免三级以上嵌套；用
map[string]interface{}或一次性 struct 收口多源数据 - 用
{{with .User}}或{{if .User.Name}}显式判空，防止空指针访问输出空白却不报错 - 模板中避免
index、slice等动态操作，尤其在高频接口中；可提前在 handler 中截取好子集再传入 - 开发期用
fsnotify实现热重载时，必须新建template.New("")实例，不能复用旧对象，否则 panic
真正容易被忽略的是：类型标注和上下文匹配必须在 Go 层完成，模板里写再多逻辑也救不了传错类型的变量——template.URL("javascript:alert(1)") 会被清空，但 template.URL("https://x?y="+userInput) 若没对 userInput 做 url.QueryEscape，仍可能破坏 URL 结构。
