Go 的 html/template 默认会对 URL 参数值中的正斜杠（/）进行编码，导致路径如 /location/to/something 变成 %2flocation%2fto%2fsomething；可通过使用 template.URL 类型、重构 URL 结构或预编译模板等方式安全绕过转义。

go 的 html/template 默认会对 url 参数值中的正斜杠（/）进行编码，导致路径如 `/location/to/something` 变成 `%2flocation%2fto%2fsomething`；可通过使用 `template.url` 类型、重构 url 结构或预编译模板等方式安全绕过转义。

在 Go 的 html/template 包中，模板引擎会根据上下文自动对数据进行转义——当变量出现在 URL 查询参数位置（如 ?file={{.Path}}）时，为防止注入攻击，它会将 / 视为需编码的特殊字符（尽管 RFC 3986 允许 / 在 URL 路径中不编码，但在查询参数值中编码是安全默认行为）。因此，原始写法：

<a href="/file?file={{.FullFilePath}}">{{.FileName}}</a>

会导致 {{.FullFilePath}} 中的 / 被转义为 %2f。

✅ 正确方案一：使用 template.URL 类型（推荐用于可信路径）

将后端传入模板的数据显式标记为安全的 URL 片段：

// 后端代码（渲染前）
FileList := struct {
    FileName     string
    FullFilePath template.URL // 关键：类型为 template.URL
}{
    FileName:     "something.txt",
    FullFilePath: template.URL("/location/to/something"),
}

模板保持不变：

<tr><td><a href="/file?file={{.FullFilePath}}">{{.FileName}}</a></td></tr>

此时模板引擎识别 template.URL 类型，跳过自动转义，输出正确 URL：

<a href="/file?file=/location/to/something">something.txt</a>

⚠️ 重要安全提醒：仅在路径完全由服务端可控、且已校验合法性（如白名单检查、路径遍历防护）时使用此方式。若 .FullFilePath 来自用户输入，直接使用 template.URL 将绕过转义保护，可能导致 XSS 或路径穿越漏洞。

✅ 方案二：将路径嵌入 URL 路径而非查询参数（更安全的设计）

避免在查询参数中拼接路径，改为 RESTful 风格路由：

<!-- 模板 -->
<a href="/file{{.FullFilePath}}">{{.FileName}}</a>

后端注册处理器匹配 /file/*：

http.HandleFunc("/file/", func(w http.ResponseWriter, r *http.Request) {
    // 提取 /file/ 后的真实路径
    filePath := strings.TrimPrefix(r.URL.Path, "/file/")
    // ⚠️ 必须校验 filePath 安全性（如禁止 ".."、绝对路径等）
    if !isValidPath(filePath) {
        http.Error(w, "Invalid path", http.StatusBadRequest)
        return
    }
    // 读取并返回文件内容
})

此时 {{.FullFilePath}} 是 URL 路径的一部分（非参数值），无需 template.URL 即可原样输出，且天然规避了参数编码问题。

✅ 方案三：预构建完整 URL 字符串（适用于简单场景）

若路径结构固定，可直接在 Go 代码中拼接完整 URL 并传入模板：

FileList := struct {
    FileName string
    FileURL  string // 类型为 string，但内容已是完整 URL
}{
    FileName: "something.txt",
    FileURL:  "/file?file=" + url.PathEscape("/location/to/something"), // 手动控制编码
}

模板中：

<a href="{{.FileURL}}">{{.FileName}}</a>

注意：此时需手动调用 url.PathEscape() 或 url.QueryEscape() 确保安全性，避免混合使用。

? 额外优化：避免模板重复解析（性能关键）

当前 renderTemplate 函数每次请求都调用 template.ParseFiles()，开销极大。应预编译模板：

var tmpl *template.Template

func init() {
    var err error
    tmpl, err = template.ParseFiles(
        templates_dir+"base.html",
        templates_dir+"view.html",
        // 其他模板...
    )
    if err != nil {
        log.Fatal(err)
    }
}

func renderTemplate(w http.ResponseWriter, tmplName string) {
    var data interface{}
    if tmplName == "view.html" {
        data = FileList
    }
    if err := tmpl.ExecuteTemplate(w, tmplName, data); err != nil {
        http.Error(w, err.Error(), http.StatusInternalServerError)
    }
}

这样既提升性能，也符合 Go 模板最佳实践。

总结：优先采用「路径嵌入」方案（方案二）兼顾安全性与简洁性；若必须用查询参数，仅对可信路径使用 template.URL；永远避免在 handler 中动态解析模板，并确保所有用户输入路径经过严格校验。