Gin中防XSS最有效方式是严格使用html/template并限制template.HTML范围；c.HTML()本身不防XSS，安全取决于模板加载是否为html/template及是否误用template.HTML绕过转义。
直接用 html/template 渲染页面 + 严格限制 template.HTML 的使用范围，是 Gin 中防 XSS 最有效、最可控的方式。别指望前端过滤或“简单转义一下”能兜底——XSS 漏洞往往就藏在你认为“已经处理过了”的地方。
为什么 gin.HTML() 本身不防 XSS
Gin 的 c.HTML() 只是把模板渲染结果写入响应体，它不干预模板内容是否安全。如果你在模板里写 {{.UserInput}}，而用的是 text/template，或者用了 {{.Raw | safeHTML}} 却没提前净化，那恶意脚本就直通浏览器。
- 默认 Gin 不强制你用
html/template，很多人误用text/template渲染 HTML 页面，导致零转义 -
c.HTML()内部调用的模板引擎，完全取决于你LoadHTMLFiles()或LoadHTMLGlob()加载时用的是哪个包 - 即使用了
html/template，只要用户输入被包装成template.HTML类型，就会绕过所有自动转义
必须用 html/template，且禁用 text/template 渲染 HTML
确认你的模板加载逻辑明确使用 html/template：
func main() {
r := gin.Default()
// ✅ 正确：显式用 html/template
r.SetHTMLTemplate(template.Must(template.New("").ParseFiles("index.html")))
// ❌ 错误：用 text/template 加载 HTML 文件（无转义）
// template.Must(text_template.New("").ParseFiles("index.html"))
}
- 所有 HTML 模板文件都必须通过
html/template加载，不能混用text/template - 检查项目中是否意外 import 了
text/template并用于 HTML 渲染 —— 这类 bug 很隐蔽，但一出就是高危 - Gin 默认不校验模板类型，靠开发者自己守规矩
富文本场景下，bluemonday 过滤必须在 handler 层完成
不要在模板里写 {{.Content | safeHTML}}，更别用正则替换 onerror 或 javascript: —— 这类清洗极易被绕过。
立即学习“go语言免费学习笔记（深入）”；
- 在 Handler 中用
bluemonday.UGCPolicy().Sanitize(dirty)处理用户提交的富文本，再传给模板 - 只对返回值为
template.HTML的变量才允许进{{.SafeHTML | safeHTML}}，且该变量必须来自bluemonday或同等级别的白名单过滤器 - 禁止对原始
c.PostForm("content")直接调用template.HTML()—— 这等于开门放行 - 注意：bluemonday 不处理 URL 协议校验，若富文本含
<a href="javascript:...">，需额外用strings.HasPrefix或url.Parse拦截
URL、JS、CSS 等上下文必须手动防护
html/template 只对 HTML 文本、双引号属性、内联 CSS/JS 字符串做转义，对 href、src、onclick、style 等上下文不做协议或语法校验。
- 动态生成链接时，用
{{.URL | urlquery}}并在 handler 中校验协议：if !strings.HasPrefix(cleanURL, "https://") && !strings.HasPrefix(cleanURL, "/") { ... } - 绝不在模板中拼接 JS 逻辑，比如
onclick="{{.Handler}}"；应改用 data 属性 + 前端绑定：<button data-action="{{.ActionID}}"> - 内联样式禁止拼接用户输入：
style="color: {{.Color}};"是危险的，应提取为预设 class 或后端映射 - 所有输出到 JSON 的字段（如
c.JSON(200, gin.H{"msg": userInput})），若前端会插入 DOM，需前端二次转义或服务端用json.Marshal确保字符串安全
最容易被忽略的点是：同一份用户输入，在不同位置需要不同处理方式 —— 插入 HTML 文本、放进 href、塞进 data- 属性、序列化进 JSON，每种都对应一套规则。没有“一次过滤，处处安全”这种事，上下文感知才是关键。
