Go 的 html/template 把我的模板自动给转码了

The Go Programming Language

Go Projects

This topic created in 1496 days ago, the information mentioned may be changed or developed.

模板代码如下：

{{- define "common/web/atom"}}
<?xml version="1.0" encoding="utf-8"?>
    <feed xmlns="http://www.w3.org/2005/Atom">

    </feed>
{{end}}

很简单的一个代码，主要是想用来实现一个 atom 服务器，返回浏览器 atom.xml 文件

但是调用 ExecuteTemplate 方法后，变成了这个样子:



&lt;?xml version="1.0" encoding="utf-8"?>
    <feed xmlns="http://www.w3.org/2005/Atom">
     
    </feed>

尖括号"<" 变成了 <

很奇怪的一个问题。我知道 Go 的 html/template 会对一些输入进行转码，避免把用户的输入生成到 html 。

但是为什么会把我的模板里面的也进行转码了呢

8 replies • 2022-05-04 13:05:42 +08:00

godlovesxcjtest

May 4, 2022

求助大家，这个问题困扰了我好几天了

nanmu42

May 4, 2022 via iPhone

html/template 自带防注入，会转义内容。

你可能要用它的兄弟 text/template ，注意不要用它直接处理用户输入。

godlovesxcjtest

May 4, 2022

是尖括号 "<" 变成了 &lt

pigmen

May 4, 2022

使用 text/template

godlovesxcjtest

May 4, 2022

是的，我知道 html/template 会转义内容，防止注入。但是我不理解的是，为什么把我在模板里定义的内容也给转义了，这不是模板的输入啊。html/template 的文档里应该写着只会转义模板的输入
@nanmu42 @pigmen

mengyx

May 4, 2022 via Android

因为你这个“<?xml”是 xml 的 header ，不符合 html 语法。要么你不要使用 html/template 去处理，要么 execute 之后手动添加

input2output

May 4, 2022

换成：
{{- printf "<?xml version=\"1.0\" encoding=\"utf-8\" standalone=\"yes\"?>" | safeHTML }}

godlovesxcjtest

May 4, 2022

@mengyx 感谢！