Для строки
<a/href/='https://google.com/#><img src=x onerror=alert()>slon</img></h1>'>google</a>, golang net/html увидит следующий DOM:html
head
body
a
->href: https://google.com/#><img src=x onerror=alert()>slon</img></h1>
То есть он будет думать что у нас есть только ссылка на google.com
В тоже время в браузере вы увидите, что у нас загрузился тег <img> и всплыл popup alert
Баг существует в предпоследней версии golang и был исправлен в последнем релизе.
P.S. Если что исправлено 5 дней назад https://github.com/golang/net/commit/643fd162e36ae58085b92ff4c0fec0bafe5a46a7