技能介绍

要解决的核心问题

在前端开发中，我们常需渲染用户输入、富文本编辑器生成、外部导入甚至模型输出的 HTML 内容，比如评论列表、CMS 文章预览、第三方数据嵌入等。这些不受信任的 HTML 片段可能藏有恶意脚本、危险事件属性，直接渲染会引发 XSS 攻击，导致页面篡改、用户信息窃取等安全问题。很多团队在内容渲染时缺乏统一的清理机制，手动过滤既繁琐又易遗漏风险点。

技能的核心工作方式

该技能以 DOMPurify 为基础，专注于在内容展示前完成安全清理，核心流程清晰：

首先识别不可信内容来源，覆盖用户提交、富文本输出、外部导入、模型生成等场景
通过 DOMPurify 剥离危险标记（如恶意 script 标签）和不安全属性，仅保留安全可用的 HTML 结构
清理后的内容可用于预览渲染、CMS 字段存储、下游页面嵌入，避免未净化内容进入业务链路
服务端运行时需依赖 DOM 环境，通常搭配 jsdom 使用，保障 Node.js 等后端场景的净化能力

适用边界与注意事项

该技能是内容净化层，不替代输入合法性校验，复杂业务仍需结合业务规则过滤
若需在 Trusted Types 策略中使用 DOMPurify，必须设置 RETURN_TRUSTED_TYPE: false（该模式不支持生产环境使用）
环境适配遇到问题时，可参考 isomorphic-dompurify 项目解决跨环境兼容问题
不要对未经过该技能清理的 HTML 直接执行渲染操作，避免绕过安全校验