Web Worker 不能直接扫描 HTML 合规性，因其无法访问 DOM 和执行动态代码；主线程负责安全采集、预处理与轻量过滤，Worker 仅执行纯计算型风险匹配与统计。
不能让 Web Worker 直接扫描 HTML 内容是否合规或含风险，因为它无法访问 DOM、document、innerHTML、script 标签内容，也不支持 eval、Function 构造函数等动态执行能力。真正的合规性扫描必须由主线程完成采集与初步过滤，Worker 仅承担计算密集型的模式匹配、规则比对和统计建模任务。
主线程负责安全上下文采集与预处理
合规性扫描的前提是拿到可分析的原始内容，这部分必须在主线程完成：
- 读取用户上传的 HTML 文件：用
FileReader.readAsText()获取字符串，避免直接注入 iframe 或 innerHTML； - 提取关键片段：剥离注释、提取 script/style 标签文本、收集所有 src/href 属性值、识别 base 标签影响的相对路径；
- 本地轻量过滤：用正则快速拦截明显恶意特征（如
javascript:伪协议、eval(、atob\(.+document\.cookie等），减少传给 Worker 的数据量； - 结构化打包：只发送清洗后的文本块 + 元信息（如文件名、大小、MIME 类型），不传完整 DOM 树或未转义的 HTML 字符串。
Worker 执行规则驱动的风险模式匹配
Worker 适合运行确定性高、无副作用、纯计算类的检测逻辑，例如：
- 基于预置规则集（JSON/YAML 格式）做多模式字符串匹配，如检测敏感词、钓鱼关键词、绕过 CSP 的内联事件（
onerror=、onclick=）； - 解析并校验 URL：检查 href/src 是否指向黑名单域名、是否使用 data: 协议嵌入脚本、是否含可疑 query 参数（如
?cmd=exec）； - 统计脚本行为特征：统计 script 标签数量、外部脚本占比、内联脚本总长度、setTimeout/setInterval 调用频次（需提前从主线程提取 AST 或 token 化结果）；
- 轻量语法树模拟：对简单 HTML 片段做状态机解析（非完整 HTML5 parser），识别未闭合标签、非法嵌套、危险属性组合（如
<iframe sandbox="" src="javascript:..."></iframe>）。
通信与反馈需克制且结构化
避免频繁、大体积、无结构的消息传递，否则会抵消 Worker 带来的性能优势：
立即学习“前端免费学习笔记（深入）”；
- 主线程每次只发一个待检单元（如单个 script 内容或一段 HTML 片段），附带唯一 ID 和类型标识（
type: "inline-script"）； - Worker 返回结构化结果：
{ id, type, risks: [{ ruleId: "XSS-03", message: "发现内联事件 handler", position: 128 }] }； - 对大文本启用 Transferable Objects：若预处理后生成 ArrayBuffer（如 UTF-8 编码字节数组），可用
postMessage(data, [data.buffer])零拷贝传输； - 设置超时熔断：Worker 内用
performance.now()监控单次分析耗时，超过 8ms 自动中止并标记 “analysis_timeout”，防止卡死。
结合沙箱与服务端增强可信度
前端扫描只能作为第一道防线，不可替代服务端验证：
- 前端扫描结果不用于直接阻断，而是提示用户“该文件存在可疑特征”，建议上传至可信云服务复核；
- 可同步调用第三方合规 API（如阿里云内容安全、腾讯云 AMS），但需由后端代理转发，避免暴露 API Key；
- 对高风险文件，主线程可创建
<iframe sandbox="allow-scripts" srcdoc="..."></iframe>进行隔离渲染，并监听error、load、beforeunload等事件判断异常行为； - 所有扫描逻辑应支持热更新规则包：主线程通过 fetch 加载最新 JSON 规则，再用
postMessage({ type: "update-rules", rules })同步给 Worker。
