go 的 `html/template` 包通过“上下文感知变量”实现自动、精准的转义——根据变量插入的 html 位置（如标签内、属性值、js 字符串、url 等）动态选择最严格的转义策略，从根本上防范 xss 攻击。
在 Go 的模板系统中，“上下文感知变量”并非一种用户定义的类型（如 unsanitizedString），而是一种由 html/template 包内置的安全语义机制：模板引擎在解析模板时，会实时跟踪每个插值表达式（如 {{.Foo}}）所处的 HTML 上下文（context），并据此自动应用对应规则的转义函数。
例如：
- 在普通 HTML 文本内容中（如 <p>{{.Foo}}</p>），<、>、& 等字符会被转义为 、&；
- 在双引号属性值中（如 <a href="{{.URL}}">），除 HTML 实体外，还会对引号 " 和反斜杠 \ 进行转义；
- 在 <script> 标签内的 JS 字符串中（如 <script>var msg = "{{.Message}}";</script>），则会采用 JavaScript 字符串转义（如 \x3c 替代 <），并阻止执行任意代码；
- 在 URL 属性中（如 <img src="{{.Src}}">），则启用 URI 编码（如空格→%20），防止 javascript: 伪协议注入。
这种上下文感知能力源于 html/template 对 HTML 语法结构的深度解析，而非简单字符串替换。它不依赖开发者手动调用 html.EscapeString()，而是由模板引擎在渲染时自动决策，大幅降低误用风险。
⚠️ 注意事项：
立即学习“前端免费学习笔记（深入）”；
- 不可混用 text/template：text/template 无上下文感知能力，仅做基础转义，用于 HTML 渲染极不安全；
- 显式绕过需谨慎：若确需输出原始 HTML（如富文本内容），须使用 template.HTML 类型标记（如 func() template.HTML { return template.HTML("<b>OK</b>") }），但必须确保该内容已由可信来源严格净化；
- 类型即契约：html/template 将 string 视为待转义文本，而 template.URL、template.JS、template.CSS 等类型则表示“已按对应上下文安全处理”，模板会跳过二次转义——这是类型安全与上下文语义的结合体现。
以下是一个典型示例：
package main
import (
"html/template"
"os"
)
func main() {
const tpl = `<p>{{.Content}}</p>
<a href="{{.URL}}">Link</a>
<script>console.log("{{.JSMsg}}");</script>`
data := struct {
Content string
URL string
JSMsg string
}{
Content: `<script>alert(1)</script>`,
URL: `javascript:alert(2)`,
JSMsg: `"; alert(3); //`,
}
t := template.Must(template.New("demo").Parse(tpl))
t.Execute(os.Stdout, data)
}输出结果（已自动转义）：
<p><script>alert(1)</script></p>
<a href="javascript:alert(2)">Link</a>
<script>console.log("; alert(3); //");</script>可见，同一原始字符串在不同上下文中被差异化、强约束地转义，这正是上下文感知的核心价值：让安全成为默认行为，而非开发者的额外负担。
