因为Gin的HTMLRender仅做模板插值和HTML转义，不解析Markdown语法；必须先用goldmark等库将Markdown字符串转为HTML，再以template.HTML类型传入或用{{ .Content | safeHTML }}渲染，否则会原样显示或被二次转义。
为什么直接用 HTMLRender 渲染 Markdown 会显示原始文本
Gin 默认的 HTMLRender 只做模板变量插值和 HTML 转义，它不解析 Markdown 语法。如果你在模板里写 {{ .Content }}，而 .Content 是一段 "# Hello\n\n- item1\n- item2"，浏览器只会原样输出这串字符，不会变成标题和列表。
根本原因：Gin 不内置 Markdown 支持，必须先将 Markdown 字符串转成 HTML 字符串，再交给模板渲染——而且要确保不被二次转义。
- 常见错误现象：
<h1>Hello</h1>在页面上显示为字面量，而不是渲染出的标题 - 根源是模板用了
{{ .Content }}（自动转义）而非{{ .Content | safeHTML }} - 更隐蔽的问题：用第三方库（如
goldmark）转换后忘了调用template.HTML()或等效标记
用 goldmark 在 handler 中预转换 Markdown
goldmark 是目前最主流、可扩展性强的 Go Markdown 解析器，比老的 blackfriday 更安全、更标准。推荐在 HTTP handler 里完成转换，而不是在模板中调用函数（Gin 模板不支持传参调用外部函数）。
实操步骤：
立即学习“go语言免费学习笔记（深入）”；
- 安装：
go get github.com/yuin/goldmark - 在 handler 中创建
goldmark.Parser和goldmark.Renderer实例（建议复用，不要每次新建） - 用
md.Convert([]byte(markdownStr), &buf)得到 HTML 字节流 - 把结果包装成
template.HTML(string(buf.Bytes()))再传给模板
示例关键片段：
md := goldmark.New()
var buf bytes.Buffer
if err := md.Convert([]byte("# Hi"), &buf); err != nil {
c.AbortWithStatusJSON(500, gin.H{"error": "markdown parse failed"})
return
}
c.HTML(200, "post.html", gin.H{
"Content": template.HTML(buf.String()),
})
模板中必须用 {{ .Content | safeHTML }} 或等价写法
Gin 的模板基于 html/template，默认对所有 {{ .X }} 插值做 HTML 转义。即使你传入的是已生成的 HTML 字符串，不显式声明“这是安全的”，它也会把 变成 <code><，导致失效。
两种等效写法（任选其一）：
- 在模板中写：
{{ .Content | safeHTML }}（前提是注册了safeHTML函数，见下条） - 或直接传
template.HTML(...)类型值，模板会自动跳过转义（无需管道）
如果选第一种，需在初始化 Gin 引擎时注册函数：
<pre class="brush:php;toolbar:false;">func safeHTML(input interface{}) template.HTML {
if s, ok := input.(string); ok {
return template.HTML(s)
}
return template.HTML("")
}
r.SetFuncMap(template.FuncMap{"safeHTML": safeHTML})
注意 XSS 风险：别盲目信任用户提交的 Markdown
Markdown 转 HTML 不等于安全。用户可以在 Markdown 里嵌入 <script>、<code><iframe></script> 或带 javascript: 的链接。goldmark 默认允许 HTML 标签，且不校验属性。
生产环境必须限制输出范围：
- 启用
goldmark.WithExtensions(goldmark.Extender(...))并禁用ast.Extended等危险扩展 - 用
goldmark.WithRendererOptions(html.WithUnsafe(false))关闭原生 HTML 解析（推荐） - 或在转换后用
bluemonday等库做二次 HTML 过滤 - 绝对不要把未过滤的用户输入直接喂给
goldmark后再safeHTML
最容易被忽略的一点：很多人只记得处理 Markdown，却忘了 goldmark 默认允许 HTML —— 关掉 WithUnsafe(false) 才是默认安全姿势。
