在 Beego 中直接向模板注入 JavaScript 字符串时，默认会进行 HTML 转义导致引号被编码、代码失效；正确做法是使用 html/template.JS 类型包装字符串，绕过自动转义，实现原生 JS 代码的安全注入。
在 beego 中直接向模板注入 javascript 字符串时，默认会进行 html 转义导致引号被编码、代码失效；正确做法是使用 `html/template.js` 类型包装字符串，绕过自动转义，实现原生 js 代码的安全注入。
Beego 基于 Go 标准库的 html/template 实现模板渲染，而该包对所有 .Data 传入的字符串默认执行 HTML 转义（如 " → "），以防止 XSS 攻击。当你通过 c.Data["JavaScript"] = jsString 传递一段含引号、括号和特殊字符的 Fabric.js 初始化代码时，模板引擎会将其视为普通文本而非可执行脚本——结果就是浏览器收到的是被转义的字符串字面量，而非合法的 JavaScript 语句。
✅ 正确解决方案：显式标记为 template.JS
在控制器中，需导入 html/template 包，并将 JavaScript 字符串强制转换为 template.JS 类型：
import "html/template"
func (c *MainController) Index() {
jsCode := `var path = new fabric.Path('M 617 141 L 606 126 M 606 126 L 604 127 z', {
stroke: 'red',
strokeWidth: 2,
fill: false,
originX: 'left',
originY: 'top'
});
canvas.add(path);`
c.Data["JavaScript"] = template.JS(jsCode) // 关键：类型转换
c.TplName = "index.tpl"
}在模板（如 index.tpl）中，直接使用 {{.JavaScript}} 即可无转义插入：
<script>
var canvas = new fabric.Canvas('c');
canvas.setHeight(571);
canvas.setWidth(991);
{{.JavaScript}}
</script>⚠️ 注意事项：
- 切勿使用 template.JSEscape：它是一个函数，用于手动转义 JS 字符串，与需求相反；此处需要的是 取消转义，而非双重转义。
- 避免拼接不可信输入：template.JS 绕过了安全机制，若 jsCode 来源于用户输入或外部 API，必须先严格校验/白名单过滤，否则存在严重 XSS 风险。
- 推荐替代方案（进阶）：对于复杂交互逻辑，建议将动态数据以 JSON 形式安全传入（利用 template.JS 包装 json.Marshal 结果），再由前端 JS 解析执行，兼顾安全性与灵活性。
总之，template.JS 是 Beego（及所有基于 html/template 的 Go Web 框架）中注入内联脚本的标准且安全的方式——前提是开发者明确承担内容可信性责任。
立即学习“Java免费学习笔记（深入）”；
