go 的 `html/template` 包通过“上下文感知变量”实现自动、精准的转义——根据变量插入的 html 位置（如标签内、属性值、js 字符串、url 等）动态选择最严格的转义策略，从根本上防范 xss 攻击。
在 Go 的模板系统中，“上下文感知变量”并非一种用户定义的类型（如 unsanitizedString），而是一种由 html/template 包内置的安全语义机制：模板引擎在解析模板时，会实时跟踪每个插值表达式（如 {{.Foo}}）所处的 HTML 上下文（context），并据此自动应用对应规则的转义函数。
例如：
- 在普通 HTML 文本内容中（如
{{.Foo}}
），、& 等字符会被转义为 zuojiankuohaophpcn、youjiankuohaophpcn、&； - 在双引号属性值中（如 ），除 HTML 实体外，还会对引号 " 和反斜杠 \ 进行转义；
- 在 ），则会采用 JavaScript 字符串转义（如 \x3c 替代
- 在 URL 属性中（如
），则启用 URI 编码（如空格→%20），防止 javascript: 伪协议注入。
这种上下文感知能力源于 html/template 对 HTML 语法结构的深度解析，而非简单字符串替换。它不依赖开发者手动调用 html.EscapeString()，而是由模板引擎在渲染时自动决策，大幅降低误用风险。
立即学习“前端免费学习笔记（深入）”；
⚠️ 注意事项：
- 不可混用 text/template：text/template 无上下文感知能力，仅做基础转义，用于 HTML 渲染极不安全；
- 显式绕过需谨慎：若确需输出原始 HTML（如富文本内容），须使用 template.HTML 类型标记（如 func() template.HTML { return template.HTML("OK") }），但必须确保该内容已由可信来源严格净化；
- 类型即契约：html/template 将 string 视为待转义文本，而 template.URL、template.JS、template.CSS 等类型则表示“已按对应上下文安全处理”，模板会跳过二次转义——这是类型安全与上下文语义的结合体现。
以下是一个典型示例：
package main
import (
"html/template"
"os"
)
func main() {
const tpl = `{{.Content}}
Link
`
data := struct {
Content string
URL string
JSMsg string
}{
Content: ``,
URL: `javascript:alert(2)`,
JSMsg: `"; alert(3); //`,
}
t := template.Must(template.New("demo").Parse(tpl))
t.Execute(os.Stdout, data)
}输出结果（已自动转义）：
zuojiankuohaophpcnscriptyoujiankuohaophpcnalert(1)zuojiankuohaophpcn/scriptyoujiankuohaophpcn
Link
可见，同一原始字符串在不同上下文中被差异化、强约束地转义，这正是上下文感知的核心价值：让安全成为默认行为，而非开发者的额外负担。
