html/template — это text/template с автоматическим экранированием для HTML. Он понимает контекст: в атрибуте тега экранирует одно, в JavaScript-блоке — другое, в URL — третье. Это защищает от XSS-атак без каких-либо усилий с твоей стороны. text/template ничего не экранирует — подставляет как есть. Правило простое: генерируешь HTML — используй html/template, генерируешь что-то другое (конфиги, письма, код) — text/template. API идентичный, просто меняешь импорт.

html/template vs text/template?