本文介绍两种高效、安全的 Go 实现方式，通过正则表达式匹配 HTML 开闭标签结构，判断目标子字符串是否严格位于 、 或 等白名单标签之间，避免误匹配和 XSS 风险。
本文介绍两种高效、安全的 go 实现方式，通过正则表达式匹配 html 开闭标签结构，判断目标子字符串是否严格位于 `
`、`
` 等白名单标签之间，避免误匹配和 xss 风险。
在 Go 中解析 HTML 片段并验证文本内容的上下文位置，是服务端内容校验（如富文本清洗、模板安全检查）中的常见需求。虽然 golang.org/x/net/html 包提供了健壮的 HTML 解析能力，但对于轻量级、单次、非嵌套的标签范围校验，正则方案更简洁高效——前提是 HTML 结构简单、可控（如 CMS 输出或预渲染片段），且已规避深层嵌套、自闭合标签或属性含 > 等边界情况。
以下是两种推荐实现，兼顾可读性与性能：
✅ 方案一：动态构建正则（适合低频调用）
使用 regexp.QuoteMeta 安全转义子字符串，防止正则注入，并利用非贪婪匹配 .*? 精确捕获标签内文本：
package main
import (
"fmt"
"regexp"
)
func betweenValidTags(input string, subStr string) bool {
// 安全转义 subStr，防止正则元字符破坏模式
escaped := regexp.QuoteMeta(subStr)
// 匹配 <p>...</p><div class="aritcle_card flexRow">
<div class="artcardd flexRow">
<a class="aritcle_card_img" href="/xiazai/skill12116" title="DeepBI DHTML 页面生成器"><img
src="https://img.php.cn/upload/skill/001/246/273/6adaf20d3191a227.jpg" alt="DeepBI DHTML 页面生成器" ></a>
<div class="aritcle_card_info flexColumn">
<a href="/xiazai/skill12116" title="DeepBI DHTML 页面生成器">DeepBI DHTML 页面生成器</a>
<p>生成可在 deepbi 沙箱 iframe 内运行或作为独立文件运行的交互式 HTML 页面，使用 `window.deepbi` JS SDK 实现数据查询、空间管理、文件浏览及用户操作。当用户提出以下需求时启用该能力：
- 创建 KPI 仪表盘、数据表格、文件浏览器、成员列表、管理页面；
- 明确要求“转成 dhtml”、“转译成 HTML”、“把 XX 页面转成……”、“控制台页面”、“管理后台”、“DeepBI 页面迁移”；
- 提及位于 `apps/console/src/featur</p>
</div>
<a href="/xiazai/skill12116" title="DeepBI DHTML 页面生成器" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a>
</div>
</div><p><span>立即学习</span>“<a href="https://pan.quark.cn/s/cb6835dc7db1" style="text-decoration: underline !important; color: blue; font-weight: bolder;" rel="nofollow" target="_blank">前端免费学习笔记（深入）</a>”；</p>、<h2>...</h2>、<li>...</li>，支持属性（如 <p class="intro">）
pattern := `<(p|li|h2)[^>]*>.*?` + escaped + `.*?</\1>`
re := regexp.MustCompile(pattern)
return re.MatchString(input)
}
func main() {
html := `<h2>Here is John Doe</h2>
<div>Hi my name is Jane Bob.</div>
<p>Joe Smith is my name.</p>
<button>Jen Willis</button>`
fmt.Println(betweenValidTags(html, "John Doe")) // true
fmt.Println(betweenValidTags(html, "Jane Bob")) // false
fmt.Println(betweenValidTags(html, "Joe Smith")) // true
fmt.Println(betweenValidTags(html, "Jen Willis")) // false
}⚠️ 注意：
使用反向引用确保开闭标签一致（如<h2>...<h2></h2> </h2>不会误匹配），但该方案每次调用都编译正则，不适用于高频场景（如每秒数千次校验）。
✅ 方案二：预编译正则 + 手动提取（推荐用于生产）
将标签匹配逻辑与子串搜索分离：先用预编译正则提取所有合法标签体内容，再用 strings.Contains 判断目标是否存在——既避免重复编译，又提升可维护性：
package main
import (
"fmt"
"regexp"
"strings"
)
var tagRegex = regexp.MustCompile(`<(p|li|h2)[^>]*>(.*?)</\1>`)
func betweenValidTags(input string, subStr string) bool {
matches := tagRegex.FindAllStringSubmatch(input, -1)
for _, m := range matches {
// m[0] 是完整匹配（如 `<h2>Here is John Doe</h2>`）
// m[1] 是标签名（如 `h2`）
// m[2] 是标签内容（如 `Here is John Doe`）
if len(m) >= 3 && strings.Contains(string(m[2]), subStr) {
return true
}
}
return false
}? 关键注意事项
-
不适用于复杂 HTML：该方案无法处理标签嵌套（如
<p><strong>text</strong></p>）、注释、CDATA 或破损 HTML。若需 100% 准确，请改用golang.org/x/net/html构建 DOM 树遍历。 -
属性兼容性：正则
[^>]*可正确跳过<p id="a" class="b"></p>等含多属性的开标签。 -
大小写敏感：HTML 标签名默认小写；如需兼容大写，可添加
(?i)标志（如）。 -
性能建议：若校验频率高且标签集合固定，可将
tagRegex声明为包级变量（如示例所示），避免重复初始化。
综上，对于受控环境下的轻量 HTML 上下文校验，预编译正则 + 内容提取是最平衡的选择：代码简短、执行快、易测试，且规避了动态正则的安全与性能陷阱。
