在 Go 的 html/template 中，当需要将子模板渲染结果作为 JavaScript 字符串嵌入时，需手动捕获并转义 HTML 片段；标准 {{template}} 动作不返回可被上下文感知转义的字符串，正确做法是注册一个执行子模板并返回转义后字符串的自定义函数。
在 go 的 html/template 中，当需要将子模板渲染结果作为 javascript 字符串嵌入时，需手动捕获并转义 html 片段；标准 `{{template}}` 动作不返回可被上下文感知转义的字符串，正确做法是注册一个执行子模板并返回转义后字符串的自定义函数。
Go 的 html/template 包默认对变量插值（如 {{.}}）进行上下文敏感转义（HTML、JS、CSS 等），但 {{template "name" .}} 动作本身不返回值，而是直接写入输出流，因此无法对其结果进一步转义或赋值给 JavaScript 变量——这正是问题中的核心痛点。
解决的关键在于：将子模板渲染过程封装为一个可调用的函数，使其返回 string 类型结果。这样，模板引擎就能根据调用位置（如 <script></script> 内）自动应用 JSEscapeString 规则（即 Unicode 转义 \u003c 等），确保生成的 JS 字符串既安全又语法合法。
以下是一个完整、健壮的实现方案：
package main
import (
"bytes"
"fmt"
"html/template"
"os"
)
var tmpl = `{{define "main"}}<script>var xx = {{exect "html-snippet" .}};</script>{{end}}
{{define "html-snippet"}}<div>
<img src="{{.}}" alt="如何在 Go 的 html/template 中安全转义嵌套模板输出" >
</div>{{end}}`
func exect(name string, data interface{}) (string, error) {
buf := &bytes.Buffer{}
err := t.ExecuteTemplate(buf, name, data)
return buf.String(), err
}
var t *template.Template
func main() {
t = template.Must(template.New("fo").
Funcs(template.FuncMap{"exect": exect}).
Parse(tmpl))
if err := t.ExecuteTemplate(os.Stdout, "main", "some.jpg"); err != nil {
fmt.Fprintln(os.Stderr, "Execution error:", err)
os.Exit(1)
}
}✅ 输出效果（已自动 JS 转义）：
立即学习“前端免费学习笔记（深入）”；
<script>var xx = "\u003cdiv\u003e\n \u003cimg src=\"some.jpg\"\u003e\n\u003c/div\u003e";</script>
关键细节说明：
- 函数
exect返回(string, error)二元组，符合html/template对函数返回值的规范要求，使错误可被模板引擎捕获并中止渲染；- 使用
bytes.Buffer捕获子模板输出，避免副作用和并发风险；t必须在Funcs注册前完成初始化（故声明为包级变量），否则闭包中引用未赋值的t将导致 panic；- 不推荐使用
template.JSEscapeString()手动包裹，因为它仅做基础字符串转义，无法替代模板引擎在<script></script>上下文中对整个表达式的智能判断（如引号平衡、换行处理等）。
? 进阶建议：若需支持多模板参数或命名数据，可扩展 exect 为 exect "name" . "key1" .Field1 "key2" .Field2 形式（配合 ...interface{} 和反射解析），但多数场景下当前简洁设计已足够安全可靠。始终优先依赖模板引擎内置的上下文转义机制，而非手动拼接字符串。
