Revel框架不自动防护XSS，开发者须显式实现输出上下文转义、CSP头注入及HttpOnly Cookie设置；禁用safe过滤器，富文本需用bluemonday等库清洗，前端动态插入HTML须二次净化。
Revel 框架本身不自动做 HTML 输出编码或 CSP 头注入，XSS 防护必须由开发者显式实现；靠框架默认行为无法抵御常见反射型或存储型 XSS。
Revel 中输出未转义内容的典型危险点
Revel 的模板引擎（基于 Go text/template）默认对 .Value 插值做 HTML 转义，但一旦使用 {{.Value | safe}}、{{html .Value}} 或 {{printf "%s" .Value}} 这类绕过机制，就等于主动放弃防护。
常见踩坑场景包括：
- 渲染用户提交的富文本（如评论、文章正文），直接用
{{.Content | safe}} - 前端 JS 从后端取值拼接 DOM，比如
var msg = "{{.AlertMsg}}";—— 若.AlertMsg含"或<script></script>，JS 就会断句或执行 - 用
c.RenderArgs["raw"] = userInput传入模板后，模板里又用了safe过滤器
服务端输出编码必须按上下文区分处理
不能只依赖“统一 HTML 转义”。XSS 攻击发生在不同上下文：HTML 文本、HTML 属性、JavaScript 字符串、URL 参数……每种都需要对应编码方式。
Revel 中推荐做法是：
- HTML 内容体：保持默认
{{.Data}}，不加safe—— 这是最安全的基线 - HTML 属性（如
title="{{.Title}}"）：确保.Title已经用html.EscapeString()处理过，再传入模板 - 内联 JavaScript 字符串（如
var name = "{{.Name}}";）：必须用js.EscapeString()（来自encoding/json包的HTMLEscapeString不够，要用专门的 JS 字符串转义） - URL 参数拼接（如
href="/user?id={{.ID}}"）：对.ID使用url.PathEscape()或url.QueryEscape()，取决于它在 URL 中的位置
必须手动注入 CSP 响应头和 HttpOnly Cookie
Revel 不内置 CSP 或自动设置 HttpOnly，这两项需在中间件或控制器中显式添加：
- CSP 头建议至少包含：
Content-Security-Policy: default-src 'self'; script-src 'self' 'unsafe-inline' 'unsafe-eval';—— 开发期可加'unsafe-inline'，上线前必须移除并改用 nonce 或 hash - 设置 Session Cookie 时，务必启用
HttpOnly和Secure（生产环境）：c.Session.Options = &revel.SessionOptions{HttpOnly: true, Secure: true} - 若使用自定义 Cookie（如 token），同样要设
http.Cookie{HttpOnly: true, Secure: true, SameSite: http.SameSiteStrictMode}
注意：HttpOnly 能防大部分 Cookie 窃取，但无法阻止 DOM 型 XSS 直接触发的 API 调用；CSP 的 script-src 若留了 'unsafe-inline'，等于白配。
动态表单提交仍是 XSS 高危入口
Revel 处理同名多值表单（如 <input name="comment[]">）时，若直接把 c.Request.Form["comment[]"] 的原始字符串切片存进数据库、再原样渲染，就是典型的存储型 XSS 温床。
关键动作不是“过滤输入”，而是“控制输出”：
- 入库前不做 HTML 过滤（避免破坏合法富文本），但必须区分字段用途：纯文本字段走
text/template默认转义；富文本字段走专用 sanitizer（如bluemonday库）白名单清洗 - 不要用正则删
<script></script>—— 绕过方式太多；bluemonday.UbbPolicy()或bluemonday.StrictPolicy()是更可靠的选择 - 即使用了 sanitizer，渲染时仍不能加
| safe，而应改用{{.CleanedHTML | safeHtml}}（自定义模板函数，内部调用template.HTML）
最易被忽略的一点：前端 JS 动态插入服务端返回的 HTML 片段（如 el.innerHTML = response.html）—— 此时服务端所有转义都失效，必须用 textContent 或 DOMPurify 在前端二次清洗。
