@zhuma4/cli 4.0.0-alpha.1

package/rules/common/zm-go-cwe327-weak-cipher.yaml

@@ -0,0 +1,152 @@
+# CWE-327: Go 弱密码模式检测
+# 逐码 ZhuMa V4.1 — Go 通用规则库
+# 检测: AES-CBC无认证、ECB模式、CTR无认证、Cipher裸用
+
+rules:
+
+# ZM-GO-WEAKCIPHER-001: AES-CBC 无认证加密
+- id: zm-go-weakcipher-001
+  severity: WARNING
+  message: |
+    检测到使用 cipher.NewCBCEncrypter / NewCBCDecrypter 进行CBC模式加密。
+    CBC模式仅提供机密性，不提供完整性/认证保护。攻击者可修改密文
+    并通过padding oracle攻击恢复明文（如Lucky13、POODLE攻击）。
+    CBC模式不满足现代AEAD（认证加密）安全要求。
+
+    修复方案:
+    1. 使用 AES-GCM: cipher.NewGCM() — 内置认证+加密
+       gcm, _ := cipher.NewGCM(block)
+       ciphertext := gcm.Seal(nil, nonce, plaintext, aad)
+    2. 或使用 golang.org/x/crypto/nacl/secretbox (XSalsa20-Poly1305)
+    3. 若必须使用CBC，必须配合HMAC-SHA256做 Encrypt-then-MAC:
+       ciphertext = iv + enc(plaintext)
+       mac = HMAC-SHA256(ciphertext)
+       最终输出: ciphertext + mac
+  languages:
+    - go
+  pattern-either:
+    - pattern: cipher.NewCBCEncrypter($BLOCK, $IV)
+    - pattern: cipher.NewCBCDecrypter($BLOCK, $IV)
+  metadata:
+    cwe: "CWE-327: Use of a Broken or Risky Cryptographic Algorithm"
+    severity: WARNING
+    precision: very-high
+    category: crypto
+    likelihood: HIGH
+    impact: HIGH
+    owasp: "A02:2021 - Cryptographic Failures"
+    references:
+      - "https://pkg.go.dev/crypto/cipher#NewGCM"
+      - "https://en.wikipedia.org/wiki/Padding_oracle_attack"
+
+# ZM-GO-WEAKCIPHER-002: ECB模式加密
+- id: zm-go-weakcipher-002
+  severity: WARNING
+  message: |
+    检测到使用 ECB（电子密码本）模式加密。Go标准库不提供ECB实现，
+    此检测匹配第三方库或自定义ECB实现。
+    ECB模式会产生确定性密文——相同明文块产生相同密文块，
+    无法隐藏数据模式，攻击者可从密文中直接识别重复数据。
+
+    修复方案:
+    1. 使用 AES-GCM (cipher.NewGCM) 替代任何ECB实现
+    2. AES-GCM 提供: 机密性 + 完整性 + 认证 + 随机IV
+    3. 绝对禁止在任何安全敏感场景使用ECB
+    4. 参考 NIST SP 800-38A 了解分组密码模式安全特性
+  languages:
+    - go
+  pattern-either:
+    - pattern: NewECBEncrypter($BLOCK)
+    - pattern: NewECBDecrypter($BLOCK)
+    - pattern: ecb.NewEncrypter($BLOCK)
+    - pattern: ecb.NewDecrypter($BLOCK)
+  metadata:
+    cwe: "CWE-327: Use of a Broken or Risky Cryptographic Algorithm"
+    severity: WARNING
+    precision: very-high
+    category: crypto
+    likelihood: MEDIUM
+    impact: HIGH
+    owasp: "A02:2021 - Cryptographic Failures"
+    references:
+      - "https://en.wikipedia.org/wiki/Block_cipher_mode_of_operation#ECB"
+
+# ZM-GO-WEAKCIPHER-003: AES-CTR 无认证加密
+- id: zm-go-weakcipher-003
+  severity: WARNING
+  message: |
+    检测到使用 cipher.NewCTR() 进行CTR模式加密。
+    CTR模式本身仅提供机密性，不提供完整性保护。
+    攻击者可对密文进行比特翻转修改明文，且无MAC无法检测篡改。
+
+    修复方案:
+    1. 使用 AES-GCM 替代 CTR 模式
+    2. 或使用 Golang 支持的 AEAD 接口: cipher.NewGCM / chacha20poly1305
+    3. 若必须用CTR，配合 HMAC-SHA256 实现 Encrypt-then-MAC 认证
+  languages:
+    - go
+  pattern-either:
+    - pattern: cipher.NewCTR($BLOCK, $IV)
+  metadata:
+    cwe: "CWE-327: Use of a Broken or Risky Cryptographic Algorithm"
+    severity: WARNING
+    precision: very-high
+    category: crypto
+    likelihood: HIGH
+    impact: HIGH
+    owasp: "A02:2021 - Cryptographic Failures"
+
+# ZM-GO-WEAKCIPHER-004: Cipher 裸用(无模式加密)
+- id: zm-go-weakcipher-004
+  severity: WARNING
+  message: |
+    检测到 cipher.Block 接口的 Encrypt/Decrypt 方法直接调用，
+    未通过任何分组密码模式包装。裸 Block 仅加密单个16字节块，
+    无法处理任意长度数据，且无认证和IV。
+
+    修复方案:
+    1. 始终通过 cipher.NewGCM(block) 等模式包装后使用
+    2. 绝对禁止直接调用 block.Encrypt / block.Decrypt 处理业务数据
+    3. 正确模式: gcm, _ := cipher.NewGCM(block); gcm.Seal(...)
+  languages:
+    - go
+  pattern-either:
+    - pattern: $BLOCK.Encrypt($DST, $SRC)
+    - pattern: $BLOCK.Decrypt($DST, $SRC)
+  metadata:
+    cwe: "CWE-327: Use of a Broken or Risky Cryptographic Algorithm"
+    severity: WARNING
+    precision: very-high
+    category: crypto
+    likelihood: HIGH
+    impact: HIGH
+    owasp: "A02:2021 - Cryptographic Failures"
+    references:
+      - "https://pkg.go.dev/crypto/cipher#Block"
+
+# ZM-GO-WEAKCIPHER-005: CFB/OFB 无认证
+- id: zm-go-weakcipher-005
+  severity: WARNING
+  message: |
+    检测到使用 cipher.NewCFBEncrypter / NewOFB 流模式。
+    CFB/OFB仅提供机密性，不提供认证保护。不应在现代系统中单独使用。
+    OFB模式虽比特翻转影响有限，但仍缺少完整性校验。
+
+    修复方案:
+    1. 使用 cipher.NewGCM() — AEAD 是唯一推荐的新增代码加密模式
+    2. 若需流加密，使用 ChaCha20-Poly1305
+    3. 旧系统迁移计划加入HMAC认证
+  languages:
+    - go
+  pattern-either:
+    - pattern: cipher.NewCFBEncrypter($BLOCK, $IV)
+    - pattern: cipher.NewCFBDecrypter($BLOCK, $IV)
+    - pattern: cipher.NewOFB($BLOCK, $IV)
+  metadata:
+    cwe: "CWE-327: Use of a Broken or Risky Cryptographic Algorithm"
+    severity: WARNING
+    precision: very-high
+    category: crypto
+    likelihood: MEDIUM
+    impact: HIGH
+    owasp: "A02:2021 - Cryptographic Failures"

package/rules/common/zm-go-cwe384-session-fixation.yaml

@@ -0,0 +1,128 @@
+# CWE-384: Go/Gin 会话固定检测
+# 逐码 ZhuMa V4.1 Sprint — Go 规则库
+# 覆盖: Gin/gorilla session未regenerate、cookie未secure/httpOnly
+
+rules:
+
+# ZM-GO-SF-001: Gorilla Sessions 登录后未替换会话ID
+- id: zm-go-sf-001
+  severity: HIGH
+  message: |
+    检测到 gorilla/sessions 在登录/认证成功后未创建新会话或未调用 session.Save() 前
+    未设置新的 session ID。
+    攻击者可通过固定会话攻击(Session Fixation)劫持已验证用户会话。
+
+    修复方案:
+    1. 登录成功后创建全新会话:
+       session, _ := store.New(r, "session-name")
+       session.Values["user"] = user
+       session.Save(r, w)
+    2. 在 Save 之前清除旧会话: session.Options.MaxAge = -1
+    3. 为认证成功的会话生成新的 session ID(随机UUID)
+    4. 将 session ID 与用户身份强绑定
+  languages:
+    - go
+  pattern-either:
+    - pattern: |
+        $SESSION.Values[$KEY] = $USER
+    - pattern: |
+        $SESSION.Values[$KEY] = $VALUE
+    - pattern: |
+        session.Values[$KEY] = $VALUE
+  metadata:
+    cwe: "CWE-384: Session Fixation"
+    severity: HIGH
+    precision: low
+    category: session
+    likelihood: HIGH
+    impact: HIGH
+    owasp: "A07:2021 - Identification and Authentication Failures"
+    references:
+      - "https://github.com/gorilla/sessions"
+      - "https://owasp.org/www-community/attacks/Session_fixation"
+
+# ZM-GO-SF-002: Gorilla/Gin Session Cookie 安全属性缺失
+- id: zm-go-sf-002
+  severity: HIGH
+  message: |
+    检测到 Gorilla sessions 的 cookie 配置中安全属性不完整。
+
+    - Secure: false → Cookie可被中间人通过HTTP明文传输窃取
+    - HttpOnly: false → JavaScript可读取Cookie，XSS可窃取会话
+    - SameSite 未设 StrictMode → 跨站请求携带Cookie，易受CSRF
+
+    修复方案:
+    1. 生产环境 Secure: true (仅HTTPS)
+    2. HttpOnly: true
+    3. SameSite: http.SameSiteStrictMode
+    4. 设置合理的 MaxAge 和 Path 限制作用域
+    5. 使用 session.Options 统一配置:
+       session.Options = &sessions.Options{
+         Path:     "/",
+         MaxAge:   3600,
+         HttpOnly: true,
+         Secure:   true,
+         SameSite: http.SameSiteStrictMode,
+       }
+  languages:
+    - go
+  pattern-either:
+    - pattern: |
+        $STORE.Options.HttpOnly = false
+    - pattern: |
+        $STORE.Options.Secure = false
+    - pattern: |
+        $OPTS.HttpOnly = false
+    - pattern: |
+        $OPTS.Secure = false
+    - pattern: |
+        $SESSION.Options.HttpOnly = false
+    - pattern: |
+        $SESSION.Options.Secure = false
+    - pattern: |
+        HttpOnly: false
+    - pattern: |
+        Secure: false
+  metadata:
+    cwe: "CWE-384: Session Fixation"
+    severity: HIGH
+    precision: very-high
+    category: session
+    likelihood: HIGH
+    impact: HIGH
+    owasp: "A07:2021 - Identification and Authentication Failures"
+    references:
+      - "https://github.com/gorilla/sessions"
+
+# ZM-GO-SF-003: Gin contrib/sessions cookie配置安全检查
+- id: zm-go-sf-003
+  severity: HIGH
+  message: |
+    检测到 Gin contrib/sessions 或其他 session store 配置中 Secure/HttpOnly 设置可能不安全。
+    使用 CookieStore 和 FilesystemStore 时需显式设置 Secure 和 HttpOnly 选项。
+
+    修复方案:
+    store := cookie.NewStore([]byte("secret"))
+    store.Options(sessions.Options{
+      Path:     "/",
+      MaxAge:   86400 * 7,
+      HttpOnly: true,
+      Secure:   true,
+      SameSite: http.SameSiteStrictMode,
+    })
+  languages:
+    - go
+  pattern-either:
+    - pattern: cookie.NewStore($KEY)
+    - pattern: sessions.NewCookieStore($KEY)
+    - pattern: sessions.NewFilesystemStore($PATH, $KEY)
+  metadata:
+    cwe: "CWE-384: Session Fixation"
+    severity: HIGH
+    precision: low
+    category: session
+    likelihood: MEDIUM
+    impact: HIGH
+    owasp: "A07:2021 - Identification and Authentication Failures"
+    references:
+      - "https://github.com/gin-gonic/contrib/tree/master/sessions"

package/rules/common/zm-go-cwe502-deserialization.yaml

@@ -0,0 +1,120 @@
+# CWE-502: Go 不安全反序列化检测
+# 逐码 ZhuMa V4.1 — Go 通用规则库
+# 检测: gob.NewDecoder.Decode / json.Unmarshal到interface{} / xml.Decoder
+
+rules:
+
+# ZM-GO-DESER-001: gob 反序列化外部输入
+- id: zm-go-deser-001
+  severity: CRITICAL
+  message: |
+    检测到 encoding/gob 的 NewDecoder().Decode() 反序列化操作。
+    gob 是Go特有的二进制序列化格式，反序列化用户可控的 gob 数据
+    可能触发 panic 导致DoS，或在复杂类型场景下产生意外行为。
+
+    修复方案:
+    1. 仅反序列化可信来源的 gob 数据
+    2. 对不可信数据使用 JSON/Protobuf 等格式替代 gob
+    3. 使用 gob.Register() 注册允许的反序列化类型白名单
+    4. 对输入数据做完整性校验（HMAC签名）
+  languages:
+    - go
+  pattern-either:
+    - pattern: gob.NewDecoder($R).Decode($V)
+    - pattern: gob.NewDecoder($R).DecodeValue($V)
+  metadata:
+    cwe: "CWE-502: Deserialization of Untrusted Data"
+    severity: CRITICAL
+    precision: high
+    category: deserialization
+    likelihood: MEDIUM
+    impact: HIGH
+    owasp: "A08:2021 - Software and Data Integrity Failures"
+    references:
+      - "https://pkg.go.dev/encoding/gob"
+      - "https://cheatsheetseries.owasp.org/cheatsheets/Deserialization_Cheat_Sheet.html"
+
+# ZM-GO-DESER-002: json.Unmarshal 到 interface{}
+- id: zm-go-deser-002
+  severity: WARNING
+  message: |
+    检测到 json.Unmarshal / json.Decoder.Decode 将数据反序列化到
+    interface{} 类型或 map[string]interface{} 动态类型。
+    无类型约束的反序列化可能导致类型混淆、DoS（嵌套炸弹），
+    且无法利用编译器类型检查保证数据安全。
+
+    修复方案:
+    1. 定义具体的结构体类型接收JSON数据: json.Unmarshal(data, &myStruct)
+    2. 使用 json.Decoder 配合 DisallowUnknownFields() 拒绝未知字段
+    3. 若必须使用动态类型，使用 json.RawMessage 延迟解析
+    4. 对输入大小做限制（http.MaxBytesReader / io.LimitReader）
+  languages:
+    - go
+  pattern-either:
+    - pattern: json.Unmarshal($DATA, $V)
+    - pattern: $DEC.Decode($V)
+  metadata:
+    cwe: "CWE-502: Deserialization of Untrusted Data"
+    severity: WARNING
+    precision: low
+    category: deserialization
+    likelihood: MEDIUM
+    impact: MEDIUM
+    owasp: "A08:2021 - Software and Data Integrity Failures"
+    references:
+      - "https://pkg.go.dev/encoding/json"
+
+# ZM-GO-DESER-003: xml.Decoder 外部实体未禁用
+- id: zm-go-deser-003
+  severity: HIGH
+  message: |
+    检测到 encoding/xml 的 Decoder 反序列化XML数据。
+    Go的 xml.Decoder 默认禁用外部实体，但若显式设置
+    Decoder.Entity 字段，可能引入 XXE 攻击风险。
+
+    修复方案:
+    1. 使用默认的 xml.NewDecoder() 不做额外配置（Go 1.17+ 默认安全）
+    2. 若必须设置 Entity，确保映射仅包含安全值
+    3. 考虑使用更安全的XML解析库或切换到JSON
+  languages:
+    - go
+  pattern-either:
+    - pattern: xml.NewDecoder($R).Decode($V)
+    - pattern: xml.Unmarshal($DATA, $V)
+  metadata:
+    cwe: "CWE-502: Deserialization of Untrusted Data"
+    severity: HIGH
+    precision: medium
+    category: deserialization
+    likelihood: LOW
+    impact: HIGH
+    owasp: "A08:2021 - Software and Data Integrity Failures"
+    references:
+      - "https://pkg.go.dev/encoding/xml"
+
+# ZM-GO-DESER-004: binary.Read 二进制反序列化
+- id: zm-go-deser-004
+  severity: WARNING
+  message: |
+    检测到 encoding/binary 的 Read() 从不可信输入读取二进制数据。
+    若输入攻击者可控，可能构造恶意二进制数据导致越界读取或内存损坏。
+
+    修复方案:
+    1. 仅从可信来源读取二进制数据
+    2. 使用 io.LimitReader 限制读取大小
+    3. 对二进制数据做完整性校验（CRC/MD5签名）
+    4. 考虑使用 Protobuf 等有类型信息的序列化格式
+  languages:
+    - go
+  pattern-either:
+    - pattern: binary.Read($R, binary.BigEndian, $V)
+    - pattern: binary.Read($R, binary.LittleEndian, $V)
+    - pattern: binary.Read($R, $ORDER, $V)
+  metadata:
+    cwe: "CWE-502: Deserialization of Untrusted Data"
+    severity: WARNING
+    precision: low
+    category: deserialization
+    likelihood: MEDIUM
+    impact: MEDIUM
+    owasp: "A08:2021 - Software and Data Integrity Failures"

package/rules/common/zm-go-cwe78-command-injection.yaml

@@ -0,0 +1,95 @@
+# CWE-78: Go OS 命令注入检测
+# 逐码 ZhuMa V4.1 — Go 通用规则库
+# 检测: os/exec.Command 启动Shell执行用户输入、syscall.Exec
+
+rules:
+
+# ZM-GO-OSCI-001: exec.Command 调用Shell执行变量参数
+- id: zm-go-osci-001
+  severity: CRITICAL
+  message: |
+    检测到 os/exec 的 Command() 使用 "sh"/"bash"/"cmd" 等Shell解释器
+    且参数中包含变量。攻击者可通过用户输入注入额外命令
+    （如 ; id、| nc、$(cat /etc/passwd) 等），实现远程代码执行。
+
+    修复方案:
+    1. 使用 exec.Command() 直接调用二进制文件，不通过Shell: 
+       exec.Command("git", "log", "--oneline") 而非 exec.Command("sh", "-c", "git log")
+    2. 避免将用户输入拼入命令字符串或Shell参数
+    3. 对必须传入Shell的命令，使用 shell-quote 库转义用户输入
+    4. 优先使用 Go 标准库函数替代外部命令（如 os.ReadFile 代替 cat）
+  languages:
+    - go
+  pattern-either:
+    - pattern: exec.Command("sh", "-c", $INPUT)
+    - pattern: exec.Command("bash", "-c", $INPUT)
+    - pattern: exec.Command("zsh", "-c", $INPUT)
+    - pattern: exec.Command("/bin/sh", "-c", $INPUT)
+    - pattern: exec.Command("/bin/bash", "-c", $INPUT)
+    - pattern: exec.Command("cmd", "/C", $INPUT)
+    - pattern: exec.Command("cmd", "/c", $INPUT)
+    - pattern: exec.Command("cmd.exe", "/C", $INPUT)
+    - pattern: exec.Command("powershell", "-Command", $INPUT)
+    - pattern: exec.Command("pwsh", "-Command", $INPUT)
+    - pattern: exec.Command("powershell.exe", "-Command", $INPUT)
+  metadata:
+    cwe: "CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)"
+    severity: CRITICAL
+    precision: high
+    category: command-injection
+    likelihood: HIGH
+    impact: CRITICAL
+    owasp: "A03:2021 - Injection"
+    references:
+      - "https://pkg.go.dev/os/exec"
+      - "https://owasp.org/www-community/attacks/Command_Injection"
+
+# ZM-GO-OSCI-002: syscall.Exec 执行用户可控路径
+- id: zm-go-osci-002
+  severity: CRITICAL
+  message: |
+    检测到 syscall.Exec() 使用变量作为可执行文件路径。
+    syscall.Exec 直接替换当前进程镜像，若路径可控将导致任意代码执行。
+
+    修复方案:
+    1. 校验可执行文件路径必须在白名单目录内
+    2. 使用绝对路径替代相对路径
+    3. 迁移至 os/exec 包（syscall 已弃用，Go 1.17+）
+  languages:
+    - go
+  pattern-either:
+    - pattern: syscall.Exec($PATH, $ARGS, $ENV)
+    - pattern: syscall.Exec($PATH, nil, nil)
+  metadata:
+    cwe: "CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)"
+    severity: CRITICAL
+    precision: high
+    category: command-injection
+    likelihood: MEDIUM
+    impact: CRITICAL
+    owasp: "A03:2021 - Injection"
+
+# ZM-GO-OSCI-003: exec.Command 命令名来自变量
+- id: zm-go-osci-003
+  severity: HIGH
+  message: |
+    检测到 os/exec 的 Command() 第一个参数（命令名）来自变量。
+    若该变量由用户输入控制，攻击者可指定任意可执行文件路径实现代码执行。
+
+    修复方案:
+    1. 命令名使用字面量字符串，参数通过后续参数传入
+    2. 对命令名做严格白名单校验
+    3. 避免从用户输入直接构造命令路径
+  languages:
+    - go
+  pattern-either:
+    - pattern: exec.Command($CMD, $ARGS)
+    - pattern: exec.CommandContext($CTX, $CMD, $ARGS)
+  metadata:
+    cwe: "CWE-78: Improper Neutralization of Special Elements used in an OS Command (OS Command Injection)"
+    severity: HIGH
+    precision: medium
+    category: command-injection
+    likelihood: MEDIUM
+    impact: HIGH
+    owasp: "A03:2021 - Injection"

package/rules/common/zm-go-cwe79-xss.yaml

@@ -0,0 +1,104 @@
+# CWE-79: Go XSS 检测
+# 逐码 ZhuMa V4.1 — Go 通用规则库
+# 检测: template.HTML 标记用户输入为安全 / 使用 text/template 渲染HTML
+
+rules:
+
+# ZM-GO-XSS-001: template.HTML() 转换用户可控字符串
+- id: zm-go-xss-001
+  severity: HIGH
+  message: |
+    检测到使用 html/template 的 template.HTML() 类型转换将字符串标记为
+    "安全HTML"直接输出。若该字符串包含用户输入，攻击者可注入
+    <script>、<img onerror=> 等XSS payload。
+
+    Go html/template 会自动转义所有字符串输出，但 template.HTML 类型
+    会绕过此保护，直接原样输出。这是Go XSS的第一大根因。
+
+    修复方案:
+    1. 删除 template.HTML() 转换，让 html/template 自动转义
+    2. 仅对可信的内部静态HTML片段使用 template.HTML()
+    3. 对用户输入使用 bluemonday 等HTML清洗库后再转换
+    4. 使用 template.JSStr() 替代 template.HTML() 输出到JS上下文
+  languages:
+    - go
+  pattern-either:
+    - pattern: template.HTML($INPUT)
+    - pattern: template.HTML($VAR)
+  metadata:
+    cwe: "CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)"
+    severity: HIGH
+    precision: high
+    category: xss
+    likelihood: MEDIUM
+    impact: HIGH
+    owasp: "A03:2021 - Injection"
+    references:
+      - "https://pkg.go.dev/html/template#HTML"
+      - "https://cheatsheetseries.owasp.org/cheatsheets/Cross_Site_Scripting_Prevention_Cheat_Sheet.html"
+
+# ZM-GO-XSS-002: template.JS / template.CSS / template.URL 注入
+- id: zm-go-xss-002
+  severity: HIGH
+  message: |
+    检测到 template.JS() / template.CSS() / template.URL() / template.HTMLAttr()
+    将用户输入标记为安全内容直接插入JS/CSS/URL/属性上下文。
+    各类转换绕过上下文特定的自动转义，可能导致XSS。
+
+    修复方案:
+    1. 使用 html/template 默认转义，不手动标记安全类型
+    2. 对JSON数据使用 template.JSStr() 替代 template.JS()
+    3. URL使用 url.QueryEscape() 编码
+    4. 绝对必要时对输入做严格的白名单校验
+  languages:
+    - go
+  pattern-either:
+    - pattern: template.JS($INPUT)
+    - pattern: template.JSStr($INPUT)  
+    - pattern: template.CSS($INPUT)
+    - pattern: template.URL($INPUT)
+    - pattern: template.HTMLAttr($INPUT)
+    - pattern: template.Srcset($INPUT)
+  metadata:
+    cwe: "CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)"
+    severity: HIGH
+    precision: high
+    category: xss
+    likelihood: MEDIUM
+    impact: HIGH
+    owasp: "A03:2021 - Injection"
+    references:
+      - "https://pkg.go.dev/html/template"
+
+# ZM-GO-XSS-003: text/template 用于HTML渲染
+- id: zm-go-xss-003
+  severity: HIGH
+  message: |
+    检测到使用 text/template 进行模板渲染（Template.Execute / Must）。
+    text/template 不提供任何HTML自动转义，所有变量直接输出到页面。
+    若模板内容中包含用户输入且输出到HTML页面，将导致XSS漏洞。
+
+    修复方案:
+    1. 将 "text/template" 替换为 "html/template"
+    2. html/template 会基于上下文自动选择转义策略（HTML/JS/CSS/URL）
+    3. 两个包的API完全兼容，仅需修改import路径
+  languages:
+    - go
+  pattern-either:
+    - pattern: texttemplate.Execute($W, $DATA)
+    - pattern: texttemplate.ExecuteTemplate($W, $NAME, $DATA)
+    - pattern: template.Must(...)
+    - pattern: template.New($NAME)
+    - pattern: template.ParseFiles(...)
+    - pattern: template.ParseGlob(...)
+  metadata:
+    cwe: "CWE-79: Improper Neutralization of Input During Web Page Generation (Cross-site Scripting)"
+    severity: HIGH
+    precision: medium
+    category: xss
+    likelihood: HIGH
+    impact: HIGH
+    owasp: "A03:2021 - Injection"
+    references:
+      - "https://pkg.go.dev/text/template"
+      - "https://pkg.go.dev/html/template"