0

0

如何在 Go HTML 模板中避免单引号被转义为 '

花韻仙語

花韻仙語

发布时间:2026-01-05 22:00:16

|

481人浏览过

|

来源于php中文网

原创

如何在 Go HTML 模板中避免单引号被转义为 '

go 的 `html/template` 会自动对 `

` 等 rcdata 上下文中的特殊字符(如 `'`)进行 html 实体转义,即使使用 `template.html` 也无法绕过该限制;若需原样输出单引号,应改用 `text/template` 并手动控制转义。<p>在 Go 的 html/template 包中,</p> <title> 元素的内容被归类为 <strong>RCDATA</strong>(Raw Text with Escapable Characters),这是 HTML 规范定义的一类特殊上下文。与普通文本不同,RCDATA 中的 这一行为是硬<a style="color:#f60; text-decoration:underline;" title="编码" href="https://www.php.cn/zt/16108.html" target="_blank">编码</a>在模板引擎内部的,且优先级高于 template.HTML 类型的标记——也就是说,即使你显式将值包装为 template.HTML("Hello World'"),它依然会被二次转义。<p>这是设计使然:html/template 的核心目标是<strong>默认安全</strong>,而非完全可控的字符串输出。其源码中 <a href="https://www.php.cn/link/ace27c5277ecc8da47cd53ff5c82cb4f" rel="nofollow" target="_blank">html.go</a> 的 escapeText 函数明确对 contentTypeHTML 上下文执行 ' 和 " 的转义,无法通过用户侧 API 关闭。</p> <p>✅ 正确解决方案:改用 text/template 并手动转义敏感字符 </p><div class="aritcle_card flexRow"> <div class="artcardd flexRow"> <a class="aritcle_card_img" href="/ai/1547" title="Favird No-Code Tools"><img src="https://img.php.cn/upload/ai_manual/000/969/633/68b7a0e82b449361.png" alt="Favird No-Code Tools" onerror="this.onerror='';this.src='/static/lhimages/moren/morentu.png'" ></a> <div class="aritcle_card_info flexColumn"> <a href="/ai/1547" title="Favird No-Code Tools">Favird No-Code Tools</a> <p>无代码工具的聚合器</p> </div> <a href="/ai/1547" title="Favird No-Code Tools" class="aritcle_card_btn flexRow flexcenter"><b></b><span>下载</span> </a> </div> </div><pre class="brush:php;toolbar:false;">package main import ( "strings" "text/template" "os" ) const tmpl = `<html> <head> <title>{{.Title}}</title> </head> </html>` // safeHTML 将输入字符串中可能引发 XSS 的字符转义(仅需转义 <, >, &, ") func safeHTML(s string) string { s = strings.ReplaceAll(s, "&", "&") s = strings.ReplaceAll(s, "<", "<") s = strings.ReplaceAll(s, ">", ">") s = strings.ReplaceAll(s, `"`, """) return s } func main() { t := template.Must(template.New("ex").Funcs(template.FuncMap{ "safe": safeHTML, }).Parse(tmpl)) v := map[string]interface{}{ "Title": "Hello World'", // 原始字符串,不包装 template.HTML } t.Execute(os.Stdout, v) }</pre><p>⚠️ 注意事项: </p> <p><span>立即学习</span>“<a href="https://pan.quark.cn/s/cb6835dc7db1" style="text-decoration: underline !important; color: blue; font-weight: bolder;" rel="nofollow" target="_blank">前端免费学习笔记(深入)</a>”;</p> <ul> <li>不要试图用 template.HTML + text/template 组合——text/template 不识别该类型,会直接调用 .String() 或 fmt.Sprint,失去语义; </li> <li>若模板中还需渲染其他 HTML 片段(如动态 <script> 内容),请确保仅对可信内容跳过转义,并始终对用户输入调用 safeHTML; </script> </li> <li>对于完整 HTML 页面生成,更推荐保持 html/template,并通过调整结构规避 RCDATA 限制(例如:将标题内容通过 JavaScript 注入或使用 <meta> + CSS 替代 <title>)。

总之,html/template 的 ' 转义不是 bug,而是安全模型的一部分。当业务逻辑明确要求保留原始单引号且可确保上下文无 XSS 风险时,切换至 text/template 并精细化控制转义,才是清晰、可靠、符合 Go 工程实践的选择。

相关文章

HTML速学教程(入门课程)
HTML速学教程(入门课程)

HTML怎么学习?HTML怎么入门?HTML在哪学?HTML怎么学才快?不用担心,这里为大家提供了HTML速学教程(入门课程),有需要的小伙伴保存下载就能学习啦!

下载

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

热门AI工具

更多
DeepSeek
DeepSeek

幻方量化公司旗下的开源大模型平台

豆包大模型
豆包大模型

字节跳动自主研发的一系列大型语言模型

通义千问
通义千问

阿里巴巴推出的全能AI助手

腾讯元宝
腾讯元宝

腾讯混元平台推出的AI助手

文心一言
文心一言

文心一言是百度开发的AI聊天机器人,通过对话可以生成各种形式的内容。

讯飞写作
讯飞写作

基于讯飞星火大模型的AI写作工具,可以快速生成新闻稿件、品宣文案、工作总结、心得体会等各种文文稿

即梦AI
即梦AI

一站式AI创作平台,免费AI图片和视频生成。

ChatGPT
ChatGPT

最最强大的AI聊天机器人程序,ChatGPT不单是聊天机器人,还能进行撰写邮件、视频脚本、文案、翻译、代码等任务。

相关专题

更多
string转int
string转int

在编程中,我们经常会遇到需要将字符串(str)转换为整数(int)的情况。这可能是因为我们需要对字符串进行数值计算,或者需要将用户输入的字符串转换为整数进行处理。php中文网给大家带来了相关的教程以及文章,欢迎大家前来学习阅读。

1010

2023.08.02

js 字符串转数组
js 字符串转数组

js字符串转数组的方法:1、使用“split()”方法;2、使用“Array.from()”方法;3、使用for循环遍历;4、使用“Array.split()”方法。本专题为大家提供js字符串转数组的相关的文章、下载、课程内容,供大家免费下载体验。

760

2023.08.03

js截取字符串的方法
js截取字符串的方法

js截取字符串的方法有substring()方法、substr()方法、slice()方法、split()方法和slice()方法。本专题为大家提供字符串相关的文章、下载、课程内容,供大家免费下载体验。

221

2023.09.04

java基础知识汇总
java基础知识汇总

java基础知识有Java的历史和特点、Java的开发环境、Java的基本数据类型、变量和常量、运算符和表达式、控制语句、数组和字符串等等知识点。想要知道更多关于java基础知识的朋友,请阅读本专题下面的的有关文章,欢迎大家来php中文网学习。

1566

2023.10.24

字符串介绍
字符串介绍

字符串是一种数据类型,它可以是任何文本,包括字母、数字、符号等。字符串可以由不同的字符组成,例如空格、标点符号、数字等。在编程中,字符串通常用引号括起来,如单引号、双引号或反引号。想了解更多字符串的相关内容,可以阅读本专题下面的文章。

649

2023.11.24

java读取文件转成字符串的方法
java读取文件转成字符串的方法

Java8引入了新的文件I/O API,使用java.nio.file.Files类读取文件内容更加方便。对于较旧版本的Java,可以使用java.io.FileReader和java.io.BufferedReader来读取文件。在这些方法中,你需要将文件路径替换为你的实际文件路径,并且可能需要处理可能的IOException异常。想了解更多java的相关内容,可以阅读本专题下面的文章。

1228

2024.03.22

php中定义字符串的方式
php中定义字符串的方式

php中定义字符串的方式:单引号;双引号;heredoc语法等等。想了解更多字符串的相关内容,可以阅读本专题下面的文章。

1184

2024.04.29

go语言字符串相关教程
go语言字符串相关教程

本专题整合了go语言字符串相关教程,阅读专题下面的文章了解更多详细内容。

192

2025.07.29

C# ASP.NET Core微服务架构与API网关实践
C# ASP.NET Core微服务架构与API网关实践

本专题围绕 C# 在现代后端架构中的微服务实践展开,系统讲解基于 ASP.NET Core 构建可扩展服务体系的核心方法。内容涵盖服务拆分策略、RESTful API 设计、服务间通信、API 网关统一入口管理以及服务治理机制。通过真实项目案例,帮助开发者掌握构建高可用微服务系统的关键技术,提高系统的可扩展性与维护效率。

76

2026.03.11

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程
Sass 教程
Sass 教程

共14课时 | 0.9万人学习

Bootstrap 5教程
Bootstrap 5教程

共46课时 | 3.6万人学习

CSS教程
CSS教程

共754课时 | 42.3万人学习

关于我们 免责申明 举报中心 意见反馈 讲师合作 广告合作 最新更新
php中文网:公益在线php培训,帮助PHP学习者快速成长!
关注服务号 技术交流群
PHP中文网订阅号
每天精选资源文章推送

Copyright 2014-2026 https://www.php.cn/ All Rights Reserved | php.cn | 湘ICP备2023035733号