本文探讨了在 go 的 `html/template` 包中，如何在不使用 `<script>` 标签的情况下，将 go 数据结构作为 <a style="color:#f60; text-decoration:underline;" title= "js"href="https://www.php.cn/zt/15802.html" target="_blank">json 字符串安全地嵌入到 html 内容中。我们将介绍两种主要方法：利用 `encoding/<a style="color:#f60; text-decoration:underline;" title= "json"href="https://www.php.cn/zt/15848.html" target="_blank">json` 进行数据序列化并结合 `template.html` 类型来阻止不必要的 html 转义，以及理解 `js` 上下文过滤器在 <a style="color:#f60; text-decoration:underline;" title= "javascript"href="https://www.php.cn/zt/15724.html" target="_blank">javascript 字面量转义中的作用及其与 json 序列化的<a style="color:#f60; text-decoration:underline;" title= "区别"href="https://www.php.cn/zt/27988.html" target="_blank">区别，确保输出内容的正确性和安全性。</script>
在现代 Web 开发中，我们经常需要将后端 Go 应用程序中的数据结构直接作为 JSON 格式嵌入到 HTML 页面中。这通常用于初始化 JavaScript 库（例如 X-Editable 的 source 属性）、填充 data-* 属性，或在不使用 AJAX 的情况下向前端传递配置信息。html/template 包在处理输出时，默认会进行 HTML 转义以防止跨站脚本攻击 (XSS)。然而，当我们需要输出原始的 JSON 字符串时，这种默认行为会把 " 转换为 "、[ 转换为 [ 等，导致输出不再是有效的 JSON。
本教程将详细介绍两种实现这一目标的方法，并明确它们各自的适用场景和注意事项。
当目标是生成一个有效的 JSON 字符串，并将其直接嵌入到 HTML 元素（例如作为 data-* 属性的值，或在非 <script> 标签的文本内容中）时，这是最推荐且最安全的方法。
package main
import (
"encoding/json"
"html/template"
"log"
"os"
)
func main() {
// 定义一个示例数据结构
type KeyValue struct {
A, B string
}
// 创建一个数据切片
data := []KeyValue{{"foo", "bar"}, {"bar", "baz"}}
// 步骤 1: 使用 encoding/json 将 Go 数据结构序列化为 JSON 字符串
// MarshalIndent 可以生成格式化的 JSON，方便阅读；Marshal 则生成紧凑的 JSON。
jsonBytes, err := json.MarshalIndent(data, "", " ")
if err != nil {
log.Fatalf("JSON 序列化失败: %v", err)
}
jsonString := string(jsonBytes)
// 步骤 2: 将 JSON 字符串包装成 template.HTML 类型
// 这会告诉 html/template，该字符串是安全的 HTML，不需要进行转义。
safeJSON := template.HTML(jsonString)
// 定义模板，直接输出数据
// 注意：这里的 {{.}} 将直接输出 safeJSON 的内容，不会再进行 HTML 转义。
tmpl, err := template.New("jsonOutput").Parse(`<html><body>Hello <div id="data" data-json='{{.}}'></div></body></html>` + "\n")
if err != nil {
log.Fatal(err)
}
// 执行模板
log.Println("--- 使用 template.HTML 输出 JSON ---")
err = tmpl.Execute(os.Stdout, safeJSON)
if err != nil {
log.Fatal(err)
}
// 另一个示例：直接在 body 中输出
tmplBody, err := template.New("jsonBody").Parse(`<html><body>Hello {{.}}</body></html>` + "\n")
if err != nil {
log.Fatal(err)
}
log.Println("\n--- 直接在 body 中输出 JSON ---")
err = tmplBody.Execute(os.Stdout, safeJSON)
if err != nil {
log.Fatal(err)
}
}--- 使用 template.HTML 输出 JSON ---
<html><body>Hello <div id="data" data-json='[
{
"A": "foo",
"B": "bar"
},
{
"A": "bar",
"B": "baz"
}
]'></div></body></html>
--- 直接在 body 中输出 JSON ---
<html><body>Hello [
{
"A": "foo",
"B": "bar"
},
{
"A": "bar",
"B": "baz"
}
]</body></html>从输出可以看出，JSON 字符串被完整且正确地嵌入到了 HTML 中，没有经过任何 HTML 转义。这正是我们所期望的，例如，可以用于 data-json 属性或直接作为页面内容。
立即学习“前端免费学习笔记（深入）”；
html/template 包提供了一个内置的 js 上下文过滤器，其作用是将值转义，使其可以安全地作为 JavaScript 字面量嵌入到 JavaScript 代码中。然而，它并不会将 Go 数据结构序列化为 JSON 字符串。
{{js .}} 的主要目的是确保 Go 变量的值在 JavaScript 代码中作为字符串、数字或布尔值字面量使用时不会破坏 JavaScript 语法或引入 XSS 漏洞。例如，如果 Go 变量是一个字符串 alert('XSS')，在 {{js .}} 处理后可能会变成 'alert(\'XSS\')'，可以安全地嵌入到 JavaScript 变量赋值中。
PHP 独特的语法混合了 C、Java、Perl 以及 PHP 自创新的语法。它可以比 CGI或者Perl更快速的执行动态网页。用PHP做出的动态页面与其他的编程语言相比，PHP是将程序嵌入到HTML文档中去执行，执行效率比完全生成HTML标记的CGI要高许多。下面介绍了十个PHP高级应用技巧。 1, 使用 ip2long() 和 long2ip() 函数来把 IP 地址转化成整型存储到数据库里
440
package main
import (
"html/template"
"log"
"os"
)
func main() {
type KeyValue struct {
A, B string
}
data := []KeyValue{{"foo", "bar"}, {"bar", "baz"}}
// 定义模板，使用 {{js .}}
// 注意：这里的 {{js .}} 会对 data 进行 JavaScript 字面量转义，但不会进行 JSON 序列化。
tmplJS, err := template.New("jsOutput").Parse("<html><body>Hello {{js .}}</body></html>\n")
if err != nil {
log.Fatal(err)
}
// 执行模板
log.Println("--- 使用 {{js .}} 输出 ---")
err = tmplJS.Execute(os.Stdout, data)
if err != nil {
log.Fatal(err)
}
}--- 使用 {{js .}} 输出 ---
<html><body>Hello [{foo bar} {bar baz}]</body></html>从输出可以看出，{{js .}} 并没有将 data 切片转换为标准的 JSON 格式，例如 "A": "foo"。它只是输出了 Go 结构体的默认字符串表示，并确保其中的特殊字符（如引号、斜杠等）被正确转义，以便在 JavaScript 环境中安全使用。对于 Go 结构体或切片，其默认的字符串表示通常是 {字段名: 字段值} 的形式。
因此，{{js .}} 不适用于在 HTML 中生成有效的 JSON 字符串。 如果您需要的是符合 JSON 规范的数据，以便被 JavaScript 解析器或库正确识别，请务必使用方法一。
在 Go 的 html/template 中嵌入 JSON 数据时，选择正确的方法至关重要：
当您需要一个标准的、可被 JavaScript 解析器识别的 JSON 字符串时：
当您需要在 <script> 标签内安全地嵌入一个 Go 变量作为 JavaScript 字面量时：
通过理解这两种方法的区别和适用场景，您可以确保在 Go 应用程序中安全、高效地将数据以 JSON 格式嵌入到 HTML 页面中，同时避免潜在的安全漏洞和数据格式错误。
以上就是Go html/template：在 HTML 中安全地嵌入 JSON 数据的详细内容，更多请关注php中文网其它相关文章！
HTML怎么学习？HTML怎么入门？HTML在哪学？HTML怎么学才快？不用担心，这里为大家提供了HTML速学教程(入门课程)，有需要的小伙伴保存下载就能学习啦！
Copyright 2014-2025 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号
163
收藏
