Go语言REST API如何清理用户输入并安全序列化结构体？

问题背景 #

正在开发基于Go的REST API，支持用户注册、登录等功能，注册请求体JSON示例如下：

{
    "name": "luke",
    "email": "l@g.com",
    "date_of_birth": "2012-04-23T18:25:43.511Z",
    "location": "Galway",
    "profile_image_id": 1,
    "password": "password",
    "is_subscribee_account": false,
    "broker_id": 1
}

已实现JSON解码（readJSON函数）和基础数据验证，但未处理HTML、JavaScript、SQL注入等风险内容，需要解决：

• 如何清理用户输入，规避安全风险
• 如何安全序列化结构体数据，防止后续网页渲染时出现XSS问题
• Go生态中是否有现成工具处理字符串安全转换

一、SQL注入防护：依赖参数化查询 #

核心原则：绝对不要手动拼接SQL语句。Go标准库database/sql及各类数据库驱动（如pq、mysql）都支持参数化查询，这是防范SQL注入的最优方案，无需手动清理SQL相关字符。示例：

// 错误示例：手动拼接SQL（风险极高）
// query := fmt.Sprintf("INSERT INTO users (name, email) VALUES ('%s', '%s')", user.Name, user.Email)

// 正确示例：参数化查询
query := "INSERT INTO users (name, email, location) VALUES ($1, $2, $3)"
_, err := app.db.ExecContext(r.Context(), query, user.Name, user.Email, user.Location)

参数化查询会由数据库驱动自动处理字符转义，从根源避免SQL注入。

二、XSS防护：HTML/JS内容清理 #

如果后续需要将用户输入（如name、location）渲染到网页，必须清理HTML标签和可执行JS代码。Go生态有成熟库可直接使用：

使用bluemonday做HTML清理 #

这是Go中常用的HTML内容安全处理库，可定义规则允许/禁止特定标签：

import "github.com/microcosm-cc/bluemonday"

// 严格规则：移除所有HTML/JS，只保留纯文本
strictPolicy := bluemonday.StrictPolicy()

// 清理用户输入字段
cleanName := strictPolicy.Sanitize(user.Name)
cleanLocation := strictPolicy.Sanitize(user.Location)

若需允许部分安全标签（如<b>、<i>），可自定义规则：

customPolicy := bluemonday.NewPolicy()
customPolicy.AllowElements("b", "i", "em", "strong")
customPolicy.AllowAttributes("class").OnElements("div")
cleanBio := customPolicy.Sanitize(user.Bio) // 假设存在用户简介字段

集成到现有验证流程 #

可以在验证后加入清理逻辑，或者单独封装清理函数：

func SanitizeUserInput(user *User) {
    strictPolicy := bluemonday.StrictPolicy()
    user.Name = strictPolicy.Sanitize(user.Name)
    user.Location = strictPolicy.Sanitize(user.Location)
    // 注意：邮箱、密码无需清理（邮箱有格式验证，密码仅存哈希）
}

// 注册流程中使用示例
func (app *application) registerUserHandler(w http.ResponseWriter, r *http.Request) {
    var input struct {
        Name     string `json:"name"`
        Email    string `json:"email"`
        Location string `json:"location"`
        // 其他字段...
    }

    err := app.readJSON(w, r, &input)
    if err != nil {
        app.errorResponse(w, r, http.StatusBadRequest, err.Error())
        return
    }

    // 先执行基础验证
    v := validator.New()
    ValidateUser(v, &User{Name: input.Name, Email: input.Email})
    if !v.Valid() {
        app.failedValidationResponse(w, r, v.Errors)
        return
    }

    // 清理敏感字段
    sanitizedName := bluemonday.StrictPolicy().Sanitize(input.Name)
    sanitizedLocation := bluemonday.StrictPolicy().Sanitize(input.Location)

    // 插入数据库时使用清理后的数据
    _, err = app.db.ExecContext(r.Context(), 
        "INSERT INTO users (name, email, location) VALUES ($1, $2, $3)",
        sanitizedName, input.Email, sanitizedLocation,
    )
    // ...后续逻辑
}

三、安全序列化结构体（避免XSS） #

如果API需要返回用户输入的字符串到前端，有两种安全处理方式：

1. 提前清理存储：在存入数据库前完成数据清理，返回时直接使用清理后的数据
2. 序列化时转义：若需保留原始数据（如用户编辑场景），返回前对敏感字段做HTML转义，可使用标准库html/template的HTMLEscapeString函数：

   import "html/template"
   
   type UserResponse struct {
       Name     string `json:"name"`
       Email    string `json:"email"`
       Location string `json:"location"`
   }
   
   // 序列化前转义敏感字段
   resp := UserResponse{
       Name:     template.HTMLEscapeString(user.Name),
       Email:    user.Email,
       Location: template.HTMLEscapeString(user.Location),
   }
   
   app.writeJSON(w, http.StatusOK, resp, nil)
   

   转义后，<script>这类标签会变为<script>，前端渲染时不会执行。

四、其他安全补充 #

• 密码处理：继续保持只存哈希的逻辑，使用golang.org/x/crypto/bcrypt或argon2id实现安全哈希，绝对不要存储明文密码。
• 输入长度限制：你已在验证中限制了name、password的长度，继续保持，防止垃圾数据或缓冲区溢出风险。
• 敏感数据过滤：序列化返回时，不要包含密码哈希、broker_id等敏感或不必要字段，仅返回前端需要的用户信息。

内容的提问来源于stack exchange，提问作者Bryan