不能靠微任务队列打造高安全级别的敏感数据单向暂存沙箱，因其无隔离能力，共享全局对象与内存；真正安全需依赖独立执行上下文（如Web Worker）、结构化副本传输、运行时内存锁定及显式清零等边界控制机制。
不能靠微任务队列打造高安全级别的敏感数据单向暂存沙箱。
微任务队列不具备隔离能力
微任务（如 Promise.then、queueMicrotask）运行在当前 JavaScript 执行上下文中，共享同一个全局对象、内存堆和作用域链。它只是调度机制，不是执行环境。敏感数据一旦进入主线程，就已暴露在完整 JS 环境中：可被 console.log 窃取、被 debugger 暂停读取、被恶意脚本通过闭包或原型链访问，甚至被 DevTools 实时监控。微任务无法阻止这些行为，也不提供内存锁定、地址空间隔离或自动擦除保障。
真正起作用的是运行时边界控制
高安全暂存依赖的是“不可逃逸的执行边界”，而非调度顺序：
- 沙箱必须运行在独立上下文（如 iframe.contentWindow、ShadowRealm 或 Web Worker），与主页面完全隔离进程/内存/事件循环
- 敏感数据仅以结构化副本形式传入，原始引用不跨边界；输入前已完成脱敏（如掩码、字段剥离），不带原始 PII 进入推理或计算流程
- 运行时强制启用内存锁定（mlock）、环形日志缓冲、超时自动清零；所有临时变量在 microtask 完成后仍需显式 nullify + gc 提示，但不能依赖其触发时机
微任务可辅助但不能替代沙箱机制
它只适合做“清理协作者”，而非“安全载体”：
- 可在沙箱内部使用 queueMicrotask 确保敏感中间结果在本轮同步逻辑结束后立即置空，避免被后续同轮微任务读取
- 配合 Object.freeze 和 WeakRef，在 microtask 中尝试释放弱引用对象，降低残留风险
- 但若沙箱本身未隔离（例如仅用 Proxy 包裹 window），微任务内执行的任何代码仍能调用 fetch、postMessage、localStorage 等高危 API
生产级方案必须组合底层防护
参考千问 Agent 沙箱实践：输入端三重脱敏（本地规则+语义识别+结构剥离）→ 运行于禁外联、自动清空、内存锁定的独立沙箱 → 工具集动态加载且硬编码限权 → 日志环形缓冲、超限即擦除。整个链路不依赖微任务调度，而依赖执行环境的构造方式与资源管控策略。
