当前位置：首页 > news >正文

Go 剥离 HTML 标签的三把「瑞士军刀」——从正则到 Bluemonday

news 来源：原创 2025/7/19 2:18:44

1 为什么要「剥皮」？

安全：去掉潜在的 <script onload=…> 等恶意标签，防止存储型 XSS。
可读性：日志、消息队列、搜索索引里往往只需要纯文本。
一致性：不同富文本编辑器生成的 HTML 五花八门，统一成「干净文本」更好比对与检索。

2 三种主流方案

方案	依赖	适用场景	优势	局限
方案 A：一行正则	无	临时脚本、CLI 工具	最短代码、零依赖	正则难以 100 % 解析 HTML；对嵌套/异常标签不稳
方案 B：状态机+正则混合	无	服务端清洗、边缘网关	无依赖，较稳妥，能过滤注释/脚本/样式	代码量比 A 大；维护自定义过滤逻辑
方案 C：Bluemonday	`github.com/microcosm‑cc/bluemonday ≥ v1.0.20 (最新 1.0.27)`	安全网关、大规模服务	社区维护、AST 级过滤、完善的 XSS 防护	需要外部库；离线机器需手动 vendor / replace

3 方案 A：最小化正则（30 字节代码）

package striphtml_aimport ("html""regexp"
)var re = regexp.MustCompile(`(?is)<!--.*?-->|<script\b.*?</script>|<style\b.*?</style>|<[^>]+>`)func Strip(s string) string { return html.UnescapeString(re.ReplaceAllString(s, "")) }

(?is) 同时打开 ignore‑case + single‑line。
同时去掉注释、脚本、样式和所有其他标签。
不要用于严格安全场景：对故意构造的畸形标签仍可能漏网。

4 方案 B：状态机 + 正则（稳健版）

package striphtml_bimport ("html""regexp""strings"
)var (comment = regexp.MustCompile(`(?s)<!--.*?-->`)script  = regexp.MustCompile(`(?is)<script\b[^>]*>.*?</script>`)style   = regexp.MustCompile(`(?is)<style\b[^>]*>.*?</style>`)
)func Strip(raw string) string {s := comment.ReplaceAllString(raw, "")s = script.ReplaceAllString(s, "")s = style.ReplaceAllString(s, "")var b strings.BuilderinTag := falsefor _, r := range s {switch {case r == '<':inTag = truecase r == '>' && inTag:inTag = falsecase !inTag:b.WriteRune(r)}}return html.UnescapeString(b.String())
}

优点：对跨行标签、配对缺失、属性注入都更健壮。
性能：在 1 MB 随机 HTML 测试中，~1.8 µs/KB（Mac M2，Go 1.22）。

5 方案 C：Bluemonday（开箱即用、安全首选）

package striphtml_cimport "github.com/microcosm-cc/bluemonday"var p = bluemonday.StrictPolicy() // 拒绝一切标签，仅保留文本func Strip(raw string) string { return p.Sanitize(raw) }

5.1 为什么选 Bluemonday？

AST 级解析，不会把畸形标签漏过。
自带数十种 Policy（老富文本白名单、UGC 白名单、UGC+链接控制…）。
社区持续维护，最新版本 v1.0.27 已在 2025‑04‑22 打包进 Debian unstable 仓库。

5.2 离线环境的两种用法

① Vendor 模式

# 有网机器
go mod download github.com/microcosm-cc/bluemonday@v1.0.27
cp -r ~/go/pkg/mod/github.com/microcosm-cc/bluemonday@v1.0.27 ./vendor/github.com/microcosm-cc/# 无网机器
go env -w GOFLAGS="-mod=vendor"
go build

② go.mod replace

require github.com/microcosm-cc/bluemonday v1.0.27
replace github.com/microcosm-cc/bluemonday => ../bluemonday   // 本地源码路径

6 性能与准确性 Benchmark

Data Size	方案 A	方案 B	Bluemonday
10 KB	17 µs	21 µs	120 µs
1 MB	1.7 ms	1.9 ms	11.8 ms

Go 1.22, Mac M2, go test -bench .，平均 5 次。
Bluemonday 牺牲 6–7× 速度换来精确、安全与维护性。
若只是内部日志解析，可选方案 A；开放上传/评论，用 Bluemonday 更保险。

7 最佳实践 Checklist

安全优先：对任何用户可控输入，默认用 Bluemonday。
先大后小：先剥离 <script>/<style> 再删其他标签，避免脚本注入。
实体解码：html.UnescapeString 把 < 转回 <，保持可读性。
缓存 Policy：Bluemonday 创建 Policy 有一定开销，做成单例。
并发：三种方案均为纯函数，可安全在多个 Goroutine 并发调用。
版本跟进：关注 Bluemonday releases 及 CVE 通报 (GO‑2025‑3503 等)。

8 总结

一行正则：极简场合、非常规 HTML 不可控 → 慎用。
状态机 + 正则：服务端批处理、边缘节点 → 在无外部依赖场景下的最佳折中。
Bluemonday：面对外部用户输入、安全要求高 → 首选，并可按需裁剪 Policy。

用好这三把「瑞士军刀」，你的 Go 服务就能在安全与性能之间找到最合适的平衡，为日志清洗、全文检索、富文本展示保驾护航。祝编码愉快！

Go 剥离 HTML 标签的三把「瑞士军刀」——从正则到 Bluemonday

1 为什么要「剥皮」？ 安全：去掉潜在的 <script onload…> 等恶意标签，防止存储型 XSS。可读性：日志、消息队列、搜索索引里往往只需要纯文本。一致性：不同富文本编辑器生成的 HTML 五花八门，统一成「…...

编程日记 2025/7/19 2:18:44

【Java面试笔记：基础】6.动态代理是基于什么原理？

1. 反射机制定义：反射是 Java 语言提供的一种基础功能，允许程序在运行时自省（introspect），直接操作类或对象。功能： 获取类定义、属性和方法。调用方法或构造对象。运行时修改类定义。应用场景&#xff…...

编程日记 2025/7/19 1:51:47

docker容器中uv的使用

文章目录 TL;DRuv简介uv管理项目依赖step 1step 2WindowsLinux/Mac step 3依赖包恢复在Docker容器中使用uv TL;DR 本文记录uv在docker容器中使用注意点, uv简介 uv是用rust编写的一个python包管理器，特点是速度快，且功能强大，目标是替代p…...

编程日记 2025/6/29 11:38:14

分部积分选取u、v的核心是什么？

分部积分选取u、v的核心是什么？是反对幂指三吗？ 不全是，其实核心是：v要比u更容易积分，也就是更容易求得原函数，来看一道例题：...

编程日记 2025/7/19 1:48:07

Android Studio调试中的坑二

下载新的Android studio Meerkat后，打开发现始终无法更新对应的SDK，连Android 15的SDK也无法在SDK Manger中显示出来，但是Meerkat必须要使用新版本SDK。 Android studio下载地址命令行工具 | Android Studio | Android Developers 解决…...

编程日记 2025/7/19 1:55:01

【Redis】缓存三剑客问题实践（上）

本篇对缓存三剑客问题进行介绍和解决方案说明，下篇将进行实践，有需要的同学可以跳转下篇查看实践篇：（待发布） 缓存三剑客是什么？ 缓存三剑客指的是在分布式系统下使用缓存技术最常见的三类典型问题。它们分…...

编程日记 2025/7/19 1:56:27

2025年4月22日（平滑）

在学术和工程语境中，表达“平滑”需根据具体含义选择术语。以下是专业场景下的精准翻译及用法解析： 1. 数学/信号处理中的「平滑」（消除噪声） Smooth (verb/noun/adjective) “Apply a Gaussian filter to smooth the noisy signa…...

编程日记 2025/7/19 1:49:01

给vue-admin-template菜单栏 sidebar-item 添加消息提示

<el-badge :value"200" :max"99" class"item"><el-button size"small">评论</el-button> </el-badge>  <template><div v-if"!item.hidden" class&q…...

编程日记 2025/7/19 2:16:04

C++（初阶）（十二）——stack和queue

十二，stack和queue 十二，stack和queueStackQueuepriority_queue 简单使用模拟实现deque Stack 函数说明stack()构造空栈empty()判断栈是否为空size()返回栈的有效元素个数top()返会栈顶元素的引用push()将所给元素val压入栈中pop()将栈的尾部元素弹出 …...

编程日记 2025/6/29 11:50:27

数据采集：AI 发展的基石与驱动力

人工智能（AI）无疑是最具变革性的技术力量之一，正以惊人的速度重塑着各行各业的格局。从智能语音助手到自动驾驶汽车，从精准的医疗诊断到个性化的推荐系统，AI 的广泛应用已深刻融入人们的日常生活与工作的各个层面。而在…...

编程日记 2025/7/15 2:59:41

Kubernetes Docker 部署达梦8数据库

Kubernetes & Docker 部署达梦8数据库一、达梦镜像获取目前达梦官方暂未在公共镜像仓库提供Docker镜像，需通过达梦官网联系获取官方镜像包。二、Kubernetes部署方案部署配置文件示例 apiVersion: apps/v1 kind: Deployment metadata:labels:app: dm8na…...

编程日记 2025/6/29 9:35:23

宏碁笔记本电脑怎样开启/关闭触摸板

使用快捷键：大多数宏碁笔记本可以使用 “FnF7” 或 “FnF8” 组合键来开启或关闭触摸板，部分型号可能是 “FnF2”“FnF9” 等。如果不确定，可以查看键盘上的功能键图标，一般有触摸板图案的按键就是触摸板的快捷键。通过设备管理器…...

编程日记 2025/6/29 12:15:14

计算机组成与体系结构：缓存（Cache）

目录为什么需要 Cache？ 🧱 Cache 的分层设计 🔹 Level 1 Cache（L1 Cache）一级缓存 🔹 Level 2 Cache（L2 Cache）二级缓存 🔹 Level 3 Cache（L3 Cache&am…...

编程日记 2025/7/14 12:09:48

【VS Code】打开远程服务器Docker项目或文件夹

1、配置SSH连接在VS Code中，按CtrlShiftP打开命令面板。输入并选择Remote-SSH: Connect to Host...。输入远程服务器的SSH地址（例如userhostname或userip_address）。如果这是您第一次连接到该主机，VS Code可能会要求您配置…...

编程日记 2025/6/29 10:04:51

指定服务名查看日志 docker-compose logs -f doc-cleaning docker inspect id 启动所有服务在docker-compose目录下 docker-compose up -d docker-compose down会删除容器和网络 docker compose stop redis rabbitmq docker compose stop可以快速停止服务，方…...

编程日记 2025/7/17 10:52:26

C#抽象类和虚方法的作用是什么？

抽象类 (abstract class)： 不能直接实例化，只能被继承。用来定义一套基础框架和规范，强制子类必须实现某些方法（抽象方法）。可用来封装一些共通的逻辑，减少代码重复。虚方法 (virtual)： …...

编程日记 2025/6/29 10:50:52

redis数据类型-基数统计HyperLogLog

redis数据类型-基数统计HyperLogLog 文档 redis单机安装redis常用的五种数据类型redis数据类型-位图bitmap 说明官网操作命令指南页面：https://redis.io/docs/latest/commands/?nameget&groupstringHyperLogLog介绍页面：https://redis.io/docs…...

编程日记 2025/6/29 9:35:31

音视频学习 - MP3格式

环境 JDK 13 IDEA Build #IC-243.26053.27, built on March 16, 2025 Demo MP3Parser MP3 MP3全称为MPEG Audio Layer 3，它是一种高效的计算机音频编码方案，它以较大的压缩比将音频文件转换成较小的扩展名为.mp3的文件，基本保持源文件的音…...

编程日记 2025/6/29 12:23:25

Oracle--PL/SQL编程

前言：本博客仅作记录学习使用，部分图片出自网络，如有侵犯您的权益，请联系删除 PL/SQL（Procedural Language/SQL）是Oracle数据库中的一种过程化编程语言，构建于SQL之上，允许编写包含S…...

编程日记 2025/6/29 19:40:58

【愚公系列】《Python网络爬虫从入门到精通》063-项目实战电商数据侦探（主窗体的数据展示）

🌟【技术大咖愚公搬代码：全栈专家的成长之路，你关注的宝藏博主在这里！】🌟 📣开发者圈持续输出高质量干货的"愚公精神"践行者——全网百万开发者都在追更的顶级技术博主！ &#x1f…...

编程日记 2025/6/29 12:23:01

DAPP(去中心化应用程序)开发全解析:构建去中心化应用的流程

去中心化应用（DApp）凭借其透明性、抗审查性和用户数据主权，正重塑金融、游戏、社交等领域。本文基于2025年最新开发实践，系统梳理DApp从需求规划到部署运维的全流程，并融入经济模型设计、安全加固等核心要点&#xff0…...

编程日记 2025/6/29 11:23:28

Spark与Hadoop之间有什么样的对比和联系

一、什么是Spark Spark 是一个快速、通用且可扩展的大数据处理框架，最初由加州大学伯克利分校的AMPLab于2009年开发，并于2010年开源。它在2013年成为Apache软件基金会的顶级项目，是大数据领域的重要工具之一。 Spark 的优势在于其速度和灵活…...

编程日记 2025/6/29 12:15:05

spark和Hadoop之间的对比和联系

Spark 诞生主要是为了解决 Hadoop MapReduce 在迭代计算以及交互式数据处理时面临的性能瓶颈问题。一，spark的框架 Hadoop MR 框架从数据源获取数据，经过分析计算后，将结果输出到指定位置，核心是一次计算，不适合迭…...

编程日记 2025/7/8 16:10:01

LeetCode 第 262 题全解析：从 SQL 到 Swift 的数据分析实战

文章目录摘要描述题解答案（SQL）Swift 题解代码分析代码示例（可运行 Demo）示例测试及结果时间复杂度分析空间复杂度分析总结未来展望摘要在实际业务中，打车平台要监控行程的取消率，及时识别服务质量的问…...

编程日记 2025/7/13 2:47:07

“融合Python与机器学习的多光谱遥感技术：数据处理、智能分类及跨领域应用”

随着遥感技术的快速发展，多光谱数据凭借其多波段信息获取能力，成为地质、农业及环境监测等领域的重要工具。相较于高光谱数据，Landsat、哨兵-2号等免费中分辨率卫星数据具有长时间序列、广覆盖的优势，而无人机平台的兴起进一步补充…...

编程日记 2025/6/29 10:58:21

JavaScript的JSON处理Map的弊端

直接使用 Map 会遇到的问题及解决方案直接使用 Map 会导致数据丢失，因为 JSON.stringify 无法序列化 Map。以下是详细分析及解决方法： 问题复现 // 示例代码 const myMap new Map(); myMap.set(user1, { name: Alice }); myMap.set(user2, { name: B…...

编程日记 2025/6/29 10:57:34

python的深拷贝浅拷贝（copy /deepcopy ）

先说结论： 浅拷贝： 浅拷贝对在第一层的操作都是新建，不改变原对象。浅拷贝对于原拷贝对象中的嵌套的可变对象是引用，对原拷贝对象中的嵌套的不可变对象是新建。对新建的对象操作不会影响原被拷贝对象。对引用对象操作会影…...

编程日记 2025/6/29 12:22:31

新能源汽车充电桩：多元化运营模式助力低碳出行

摘要:以新能源汽车民用充电桩为研究对象，在分析充电桩建设运营的政府推动模式、电网企业推动模式、汽车厂商推动模式等三种模式利弊的基础上，结合我国的实际情况，提出我国现阶段应实行汽车厂商与电网企业联盟建设充电桩的模式。建立一个考虑…...

编程日记 2025/6/29 10:41:41

Python 设计模式：享元模式

1. 什么是享元模式？ 享元模式是一种结构型设计模式，旨在通过共享对象来减少内存使用和提高性能。它特别适用于需要大量相似对象的场景，通过共享相同的对象来避免重复创建，从而节省内存和提高效率。享元模式的核心思想是将对象的…...

编程日记 2025/6/29 11:39:17

文献×汽车 | 基于 ANSYS 的多级抛物线板簧系统分析

板簧系统是用于减弱或吸收动态系统中发生的应力、应变、偏转和变形等破坏性因素的机械结构。板簧系统可能对外力产生不同的响应，具体取决于其几何结构和材料特性。板簧系统的计算机辅助分析对于高精度确定系统的变形特性和结构特性至关重要。在这项工作中&#xff…...

编程日记 2025/6/29 11:31:29

Element UI、Element Plus 里的表单验证的required必填的属性不能动态响应？

一问题背景想要实现： 新增/修改对话框中(同一个)，修改时“备注”字段非必填，新增时"备注"字段必填结果发现直接写不生效-初始化一次性 edit: [{ required: true, message: "请输入备注", trigger: "blur" }…...

编程日记 2025/6/29 11:21:10

【架构】ANSI/IEEE 1471-2000标准深度解析：软件密集型系统架构描述推荐实践

引言在软件工程领域，架构设计是确保系统成功的关键因素之一。随着软件系统日益复杂化，如何有效描述和沟通系统架构成为了一个亟待解决的问题。ANSI/IEEE 1471-2000（正式名称为"推荐软件密集型系统架构描述实践"）应运而…...

编程日记 2025/6/29 12:22:11

深度学习中的“重参数化”总结

深度学习中的重参数化（Reparameterization）是一种数学技巧，主要用于解决模型训练过程中随机性操作（如采样）导致的梯度不可导问题。其核心思想是将随机变量的生成过程分解为确定性和随机性两部分，使得反向传…...

编程日记 2025/7/16 14:32:59

为TA开发人员介绍具有最新改进的Kinibi-610a

安全之安全(security)博客目录导读目录一、引言二、密码学改进三、可信应用（TA）的多线程支持四、C 标准库支持五、简化的支持与集成六、参考资料一、引言 Trustonic 推出的 Kinibi-610a 进行了多项底层优化，以实现更深度的系统集成，并更好地适应不断演进的…...

编程日记 2025/6/29 12:21:07

通信与推理的协同冲突与架构解耦路径

在大规模无人机集群中，AI决策系统依赖实时通信完成状态共享与策略传播，但通信带宽、延迟、信息一致性等问题正在成为系统性能的瓶颈。尤其是在山区、城市低空或信号遮蔽等通信不稳定区域，AI推理系统往往面临状态更新延迟，难以及时…...

编程日记 2025/6/29 10:50:07

《AI大模型应知应会100篇》第32篇：大模型与医疗健康：辅助诊断的可能性与风险

第32篇：大模型与医疗健康：辅助诊断的可能性与风险摘要当AI开始读懂CT影像中的细微阴影，当算法能从百万份病历中发现诊断规律，医疗健康领域正经历着一场静默的革命。本文通过技术解构与案例分析，揭示大模型如何重塑临…...

编程日记 2025/6/29 10:24:20

c语言修炼秘籍 - - 禁(进)忌(阶)秘(技)术(巧)【第七式】程序的编译

c语言修炼秘籍 - - 禁(进)忌(阶)秘(技)术(巧)【第七式】程序的编译【心法】【第零章】c语言概述【第一章】分支与循环语句【第二章】函数【第三章】数组【第四章】操作符【第五章】指针【第六章】结构体【第七章】const与c语言中一些错误代码【禁忌秘术】【第一式】…...

编程日记 2025/6/29 10:56:42

[创业之路-377]：企业法务 - 有限责任公司与股份有限公司的优缺点对比

有限责任公司（简称“有限公司”）与股份有限公司（简称“股份公司”）是我国《公司法》规定的两种主要公司形式，二者在设立条件、治理结构、股东权利义务等方面存在显著差异。以下从核心特征、设立条件、治理结构、股东权…...

编程日记 2025/6/29 12:01:42

PowerBi中REMOVEFILTERS怎么使用？

在 Power BI 的 DAX 中，REMOVEFILTERS() 是一个非常重要的函数，常用于取消某个字段或表的筛选上下文（Filter Context），从而让你的计算不受切片器（Slicer）、筛选器或视觉对象的限制。 ✅ 一、REM…...

编程日记 2025/6/29 10:48:37

stat判断路径

int stat(const char *pathname, struct stat *buf); pathname：用于指定一个需要查看属性的文件路径。 buf：struct stat 类型指针，用于指向一个 struct stat 结构体变量。调用 stat 函数的时候需要传入一个 struct stat 变量的指针&#xff0…...

编程日记 2025/7/14 15:50:58

智能指针之设计模式4

前面的文章介绍了使用工厂模式来封装智能指针对象的创建过程，下面介绍一下工厂类 enable_shared_from_this的实现方案。 4、模板方法模式在前面的文章分析过，enable_shared_from_this<T>类是一个工厂基类，提供的工厂方法是shared_f…...

编程日记 2025/7/14 16:47:30

Linux信号的产生

Linux系列文章目录 Linux系列一、信号的产生1.1 异常1.2 alarm()系统调用二、信号的默认行为一、信号的产生上篇文章我们已经介绍了信号的三种产生方式，这部分是对上篇文章的补充 1.1 异常在编写程序时，我们的程序经常会出现如：除零…...

编程日记 2025/6/29 11:40:27

FPGA设计时空变换

1、时空变换基本概念 1.1、时空概念简介时钟速度决定完成任务需要的时间，规模的大小决定完成任务所需要的空间（资源），因此速度和规模就是FPGA中时间和空间的体现。如果要提高FPGA的时钟，每个clk内组合逻辑所能做的事…...

编程日记 2025/6/29 12:21:19

客户端本地搭建

connect函数主要用于客户端套接字向服务器发起连接请求。头文件 #include <sys/socket.h> #include <arpa/inet.h> 函数原型 int connect(int sockfd, const struct sockaddr *addr, socklen_t addrlen);参数解释 sockfd：客户端文件描述符。 addr…...

编程日记 2025/7/17 17:10:35

广东食品销售初级考试主要考什么

广东省食品销售初级考试主要考察从业人员对食品安全法律法规、行业规范及基础操作技能的掌握程度，内容涵盖以下几个方面： 1. 食品安全法律法规考试重点包括《食品安全法》《广东省食品安全条例》等核心法规，要求考生熟悉食品经营许可、从业…...

编程日记 2025/6/29 10:19:09

[盈达科技】GEO（生成式引擎优化）实战指南：从认知重构、技术落地到内容突围的三维战略

GEO（生成式引擎优化）实战指南：从认知重构、技术落地到内容突围的三维战略引言：AI搜索重构规则，GEO成为企业新护城河在生成式AI主导的搜索时代，传统SEO的“关键词游戏”已失效。Google数据显示&#xff0…...

编程日记 2025/6/29 9:35:30

Linux ACL访问控制权限解析：超越传统权限的精细化管理

Linux ACL权限管理示意图标准输出：Linux文件权限结构（支持ACL） ├── 传统权限 │ ├── 所有者(user): rwx │ ├── 所属组(group): r-x │ └── 其他用户(other): r-- │ └── ACL扩展权限├── 用户条目│ ├── user…...

编程日记 2025/6/29 11:27:02

全面介绍AVFilter 的添加和使用

author: hjjdebug date: 2025年 04月 22日星期二 13:48:19 CST description: 全面介绍AVFilter 的添加和使用文章目录 1.两个重要的编码思想1. 写代码不再是我们调用别人，而是别人调用我们!2. 面向对象的编程方法. 2. AVFilter 开发流程2.1 编写AVFilter 文件2.1.…...

编程日记 2025/6/29 10:28:34