如何在Echo框架中使用html/template传递HTML内容？

嗨，我之前在做Go Web服务的时候也踩过这个坑！html/template默认会把所有字符串内容转义成安全文本，这是为了防止XSS攻击，但当我们需要渲染自己生成的可信HTML（比如你说的后端生成的表格）时，确实需要手动标记内容为安全的。下面给你两种实用的实现方式：

方法一：使用template.HTML类型标记安全内容 #

这是官方最推荐的方式，通过类型转换明确告诉模板：这段内容是安全的HTML，可以直接渲染。

步骤： #

1. 在你的数据结构体中，把存储HTML的字段类型从string改成template.HTML（需要导入html/template包）：

import "html/template"

type PageData struct {
    // 原来的string类型改成template.HTML
    TableHTML template.HTML
}

2. 后端生成表格HTML后，直接赋值给这个字段（因为template.HTML是string的别名，强制类型转换即可）：

// 假设这是你生成的表格HTML字符串
generatedTable := `<table>
    <tr><th>ID</th><th>名称</th></tr>
    <tr><td>1</td><td>测试数据</td></tr>
</table>`

// 组装模板数据
pageData := PageData{
    TableHTML: template.HTML(generatedTable),
}

// 在Echo中渲染模板
if err := c.Render(http.StatusOK, "your-page.html", pageData); err != nil {
    c.Error(err)
}

3. 在HTML模板中直接使用该字段即可，模板不会再转义内容：

<div class="table-container">
    {{.TableHTML}}
</div>

方法二：在模板中使用safeHTML函数 #

如果你不想修改结构体字段类型，也可以通过注册模板函数的方式，在模板里手动标记内容为安全HTML。

步骤： #

1. 给Echo的模板注册safeHTML函数：

import (
    "html/template"
    "io"
    "github.com/labstack/echo/v4"
)

// 自定义模板渲染器，实现Echo的Renderer接口
type CustomRenderer struct {
    templates *template.Template
}

func (r *CustomRenderer) Render(w io.Writer, name string, data interface{}, c echo.Context) error {
    return r.templates.ExecuteTemplate(w, name, data)
}

func main() {
    e := echo.New()

    // 创建模板函数映射，添加safeHTML函数
    funcMap := template.FuncMap{
        "safeHTML": func(htmlStr string) template.HTML {
            return template.HTML(htmlStr)
        },
    }

    // 加载模板并注册函数
    tpl := template.Must(template.New("").Funcs(funcMap).ParseGlob("templates/*.html"))
    e.Renderer = &CustomRenderer{templates: tpl}

    // ... 其他路由和启动逻辑
}

2. 在HTML模板中使用管道符调用safeHTML函数：

<div class="table-container">
    {{.TableHTML | safeHTML}}
</div>

重要提醒 #

不管用哪种方法，一定要确保你要渲染的HTML内容是完全可信的——比如是后端自己生成的，不是来自用户输入或者不可信的第三方接口。html/template的自动转义是重要的安全防护，不要为了方便就随便绕过，避免引入XSS攻击风险。

内容的提问来源于stack exchange，提问作者Nathan V