cgi程序返回html需严格遵循五步规范：一、输出http状态行、content-type头及空行；二、生成含doctype、html根元素、meta charset和正文的合法html5结构；三、对动态内容进行html实体转义防xss；四、仅通过stdout输出并禁用缓冲；五、正确配置服务器识别.cgi扩展、赋执行权及启用mod_cgi。
当Web服务器接收到客户端请求并调用CGI程序时，该程序需按特定协议输出HTML内容以供浏览器渲染。以下是服务端通过CGI返回HTML内容的标准步骤：
一、设置正确的HTTP响应头
CGI脚本必须在输出HTML正文前发送完整的HTTP响应头，否则浏览器无法正确解析内容类型与状态。响应头需包含状态行和Content-Type字段，且头部与正文之间需用空行分隔。
1、输出HTTP状态行：例如print "HTTP/1.1 200 OK\r\n"。
2、输出Content-Type头：例如print "Content-Type: text/html; charset=utf-8\r\n"。
立即学习“前端免费学习笔记（深入）”；
3、输出空行终止响应头：例如print "\r\n"。
二、生成合法的HTML文档结构
CGI脚本需构造符合HTML5规范的文档结构，确保浏览器能正确解析并渲染。省略DOCTYPE或根元素可能导致渲染异常或兼容性问题。
1、输出DOCTYPE声明：例如print ""。
2、输出根元素及lang属性：例如print ""。
3、在
中指定字符集：例如print ""。4、在
中插入可渲染内容：例如print "欢迎访问
"。三、处理特殊字符与用户输入
若HTML内容包含动态数据（如表单提交值），必须对尖括号、引号、与符号等进行HTML实体转义，防止XSS漏洞或标签解析错误。
1、将input_str.replace("。
2、将>转换为>：例如input_str.replace(">", ">")。
3、将"转换为"：例如input_str.replace("\"", """)。
4、将&转换为&：例如input_str.replace("&", "&")。
四、使用标准输出流直接写入
CGI协议要求所有输出必须通过标准输出（stdout）完成，不可使用文件写入、日志重定向或缓冲区截断方式替代，否则内容不会送达客户端。
1、禁用输出缓冲：例如在Python中使用sys.stdout.flush()或启动时加-u参数。
2、避免调用exit()或sys.exit()过早终止：确保所有HTML内容已写入stdout后再结束进程。
3、不向stderr写入HTML内容：stderr通常被服务器记录而非返回给浏览器。
五、配置Web服务器支持CGI执行
Web服务器必须识别.cgi或.pl等扩展名，并赋予脚本执行权限，同时设置正确的shebang路径与工作目录，否则CGI程序无法启动或产生500错误。
1、在脚本首行声明解释器路径：例如#!/usr/bin/env python3。
2、赋予脚本可执行权限：例如在Shell中运行chmod +x script.cgi。
3、在Apache配置中启用cgi-bin目录并加载mod_cgi模块：例如确认存在ScriptAlias /cgi-bin/ "/var/www/cgi-bin/"。
