在使用Go语言开发Web应用时，html/template包是官方推荐的HTML模板引擎，它通过上下文感知转义来防止跨站脚本攻击。然而当页面中需要写入HTML条件注释，例如针对旧版IE的兼容代码时，很多开发者发现注释被转义或结构被破坏，进而引发安全性与兼容性的矛盾。
什么是HTML条件注释
HTML条件注释是非标准语法，主要被早期Internet Explorer识别，常见写法如下：
<!--[if lt IE 9]> <script src="ie-polyfill.js"></script> <![endif]-->
这类注释在标准浏览器中会被当作普通注释忽略，而在IE特定版本中才会执行内部代码。
html/template的默认转义行为
如果直接在模板中写入条件注释，html/template会将其作为普通文本处理并转义尖括号，导致浏览器无法识别：
package main
import (
"os"
"html/template"
)
func main() {
const tpl = `<!--[if lt IE 9]>
<script src="ie.js"></script>
<![endif]-->`
t := template.Must(template.New("t").Parse(tpl))
// 输出时 < 和 > 会被二次转义为 < 等
t.Execute(os.Stdout, nil)
}
这种转义虽然避免了注入，却让条件注释失效。
安全风险与错误做法
有些人为了保留注释结构，会使用template.HTML强行关闭转义：
data := map[string]interface{}{
"cond": template.HTML(`<!--[if lt IE 9]><script src="ie.js"></script><![endif]-->`),
}
若其中的内容包含用户可控变量且未过滤，就会引入XSS漏洞。因此绝不能将未经验证的用户输入直接拼接到template.HTML中。
安全处理策略
策略一：固定静态注释
当条件注释完全静态时，使用template.HTML包裹常量即可，因为内容不可变所以安全：
const ieCond = template.HTML(`<!--[if lt IE 9]>
<script src="/static/ie.js"></script>
<![endif]-->`)
func render(w http.ResponseWriter, r *http.Request) {
t := template.Must(template.New("x").Parse(`{{.IeCond}}`))
t.Execute(w, map[string]interface{}{"IeCond": ieCond})
}
策略二：自定义安全函数
若需插入动态路径，应通过自定义函数做白名单校验后再转为template.HTML：
func safeCond(src string) template.HTML {
// 仅允许字母、数字、斜杠、点号
if !regexp.MustCompile(`^[a-zA-Z0-9/_.]+$`).MatchString(src) {
return template.HTML("")
}
return template.HTML(`<!--[if lt IE 9]><script src="` + src + `"></script><![endif]-->`)
}
t := template.New("t").Funcs(template.FuncMap{"safeCond": safeCond})
t.Parse(`{{safeCond .Src}}`)
总结建议
在Go的html/template中处理HTML条件注释，核心原则是：静态内容可用template.HTML直接输出，动态内容必须经过严格校验再转换。这样既能维持旧浏览器兼容，也能守住防XSS的安全底线。
Gohtml_templateHTML条件注释修改时间：2026-07-30 11:45:22