应绕过被污染的Event.prototype，优先使用stopImmediatePropagation()、捕获阶段监听、pointer-events控制及篡改检测降级等组合策略来确保冒泡拦截可靠。
直接防范不了——Event.prototype.stopPropagation 被篡改后，所有后续调用都会失效，这不是逻辑漏洞，而是运行时环境被污染的典型表现。关键不在于“怎么防篡改”，而在于“如何在已被篡改的环境中仍能可靠阻止冒泡”。
为什么篡改 Event.prototype 是高危行为
黑客若执行类似以下代码，就可全局破坏 stopPropagation：
Event.prototype.stopPropagation = function() { /* 空实现 */ };该操作影响所有新创建的 Event 实例（包括 click、input、customEvent 等），且无法通过重绑定或 polyfill 恢复原生行为——浏览器不提供还原接口。
真正可行的防御策略：绕过原型，直取原生能力
不依赖被污染的 event.stopPropagation()，而是用更底层、更难篡改的机制实现等效效果：
- 用 event.stopImmediatePropagation() 替代：它和 stopPropagation 同属 Event 原型方法，但部分篡改脚本会遗漏它；更重要的是，它本身具备“阻止冒泡 + 阻止同元素其他监听器”的双重效果，即使 stopPropagation 失效，只要 stopImmediatePropagation 尚未被覆盖，就能达成实质拦截
-
用捕获阶段提前拦截：在目标元素上用
addEventListener('click', handler, true)注册捕获监听器，在事件到达目标前就调用e.stopPropagation()。此时事件尚未进入冒泡路径，即使原型已被改写，只要该次调用发生在篡改之后、且函数体未被重写，仍可能生效（取决于篡改时机） -
用 CSS pointer-events: none 临时禁用交互：对需拦截冒泡的子元素，在触发后立即设
element.style.pointerEvents = 'none'，再在下帧恢复。虽不能替代 JS 逻辑，但可物理切断用户再次触发路径，防止竞态绕过
增强运行时可信度：检测并响应篡改
不能阻止篡改，但可以及时发现并降级处理：
- 在应用初始化时保存原生方法引用：
const originalStop = Event.prototype.stopPropagation;，后续每次使用前做一次if (e.stopPropagation !== originalStop) { /* 切换备用方案 */ } - 用
Object.getOwnPropertyDescriptor(Event.prototype, 'stopPropagation')检查是否为 configurable: false —— 若是，说明已被锁定篡改，应启用完全不依赖原型的方法（如上面的 pointer-events 或自定义事件流控制） - 避免在第三方 SDK 加载后才绑定关键事件监听器；优先在
document.write阶段或模块加载早期完成核心事件防护逻辑
框架与沙箱层面的加固建议
纯前端无法根治，需结合运行环境约束：
- 启用
Content-Security-Policy: script-src 'self'严格限制内联脚本和外部域脚本，大幅压缩篡改入口 - 在支持的环境（如现代 Chrome/Firefox）中启用
trusted types和integrity属性，防止恶意脚本注入 - 对高度敏感交互（如支付确认弹窗），采用 Shadow DOM 封装 +
mode="closed"，隔离样式与脚本作用域，让外部几乎无法触达内部 Event 对象
