html/template — HTML yang aman secara default

html/template tahu apakah nilaimu sedang ditempatkan di dalam teks HTML, atribut, URL, atau JavaScript — dan mengubah cara escaping-nya sesuai konteks. Itu perbedaan besar dari text/template.

Escaping yang sadar konteks

data := map[string]string{
	"input": `<script>alert(1)</script>`,
}

{{.input}}                    →  <script>alert(1)</script>
<a title="{{.input}}">        →  di-escape sebagai atribut
<a href="/cari?q={{.input}}"> →  di-escape sebagai URL
<script>var x = {{.input}};   →  di-escape sebagai literal string JavaScript
<style>color: {{.input}}      →  ditolak / dinetralkan sebagai CSS

Satu nilai, lima perlakuan berbeda — otomatis, berdasarkan tempat ia muncul. Inilah alasan XSS jauh lebih jarang di aplikasi Go yang memakai html/template dibandingkan aplikasi yang menyambung string HTML sendiri.

Parse sekali, di startup

import "embed"

//go:embed web/template/*.html
var templateFS embed.FS

// template.Must: kalau template rusak, program GAGAL START —
// bukan mengembalikan 500 pertama kali halaman itu dibuka.
var tmpl = template.Must(template.New("").Funcs(fungsi).
	ParseFS(templateFS, "web/template/*.html"))

func (h *Handler) Beranda(w http.ResponseWriter, r *http.Request) {
	data := halamanData{Judul: "Beranda", Produk: daftar}

	// Render ke buffer DULU: kalau gagal di tengah, kita masih bisa
	// mengirim 500 alih-alih halaman setengah jadi berstatus 200.
	var buf bytes.Buffer
	if err := tmpl.ExecuteTemplate(&buf, "beranda.html", data); err != nil {
		h.log.ErrorContext(r.Context(), "render gagal", "err", err)
		http.Error(w, "terjadi kesalahan", http.StatusInternalServerError)
		return
	}

	w.Header().Set("Content-Type", "text/html; charset=utf-8")
	w.Header().Set("Cache-Control", "public, s-maxage=60, stale-while-revalidate=600")
	_, _ = buf.WriteTo(w)
}

Sintaks yang dipakai sehari-hari

{{.Judul}}                        nilai
{{.Produk.Nama}}                  bersarang
{{if .Login}}...{{else}}...{{end}}
{{range .Produk}} {{.Nama}} {{else}} Kosong {{end}}
{{with .Pengguna}} {{.Nama}} {{end}}     ganti konteks kalau tidak nil
{{template "kaki" .}}             sisipkan template lain
{{block "isi" .}}...{{end}}       definisi + pemanggilan sekaligus
{{$n := len .Produk}}             variabel
{{.Harga | rupiah}}               pipeline ke fungsi kustom
{{/* komentar, tidak ikut keluaran */}}
{{- .Nama -}}                     pangkas spasi kiri/kanan

Tata letak dengan blok

<!-- layout.html -->
<!doctype html>
<html lang="id">
<head><title>{{block "judul" .}}Toko{{end}}</title></head>
<body>
  {{block "isi" .}}{{end}}
</body>
</html>

<!-- beranda.html -->
{{define "judul"}}Beranda &middot; Toko{{end}}
{{define "isi"}}
  <h1>Produk</h1>
  <ul>{{range .Produk}}<li>{{.Nama}} — {{.Harga | rupiah}}</li>{{end}}</ul>
{{end}}

Fungsi kustom

var fungsi = template.FuncMap{
	"rupiah": func(n int64) string {
		return "Rp" + tandaRibuan(n)
	},
	"tanggal": func(t time.Time) string {
		return t.Format("2 Jan 2006")
	},
	"potong": func(s string, n int) string {
		if len(s) <= n {
			return s
		}
		return s[:n] + "…"
	},
}

template.HTML: satu-satunya jalan keluar, dan bahayanya

// Ini MEMATIKAN escaping. Kalau isinya pernah disentuh pengguna, ini XSS.
type artikel struct {
	Isi template.HTML
}

// Yang benar: bersihkan dulu dengan sanitizer, baru tandai aman.
isiBersih := bluemonday.UGCPolicy().Sanitize(markdownKeHTML(mentah))
a := artikel{Isi: template.HTML(isiBersih)}

Kapan template server-side masih pilihan terbaik

Untuk situs bertrafik baca tinggi — yang jadi sasaran roadmap ini — halaman yang dirender server dan di-cache di CloudFront adalah kombinasi tersulit dikalahkan: permintaan yang tidak pernah menyentuh proses Go sama sekali.