讲师中心 微信公众号
AI工具推荐 视频效率加速

通过定制化语法树检测规则排查HTML代码质量潜在技术漏洞

梦强君_2887

梦强君_2887

发布时间:2026-07-14 12:15:49

|

412人浏览过

|

来源于php中文网

原创

HTMLHint无法实现AST级嵌套语义检查,因其规则仅基于token流或单行文本,不提供parentNode、children等AST节点属性;真需校验如“img是否在figure内”等语义,必须改用parse5构建真实AST并手动遍历。

通过定制化语法树检测规则排查html代码质量潜在技术漏洞

HTMLHint 不能做 AST 级规则,别白费劲写“嵌套语义”检查

HTMLHint 的规则函数接收的是 token 流或单行文本,不是 AST 节点对象。你没法调用 node.parentNode、node.children 或判断 node.isSelfClosing —— 这些属性根本不存在。所有所谓“组件内 img 必须带 alt”“template 下的 button 要有 aria-label”的需求,在 HTMLHint 里注定失败。

常见错误现象:

  • 写了遍历逻辑却收不到子节点信息,node.children 是 undefined
  • 试图用 node.tagName === 'FIGURE' 判断父级,结果 node 根本没 tagName 字段
  • 文档里看到“支持自定义规则”,误以为能复刻 ESLint 风格的上下文感知

它真正能干的只有两类事:

  • 正则匹配局部模式:比如 alt-require 查 <img> 是否含 alt 属性(不关心它在不在 <figure> 里)
  • 状态机驱动的配对检查:比如 tag-pair 确保 <div> 和 </div> 出现顺序合法(不校验是否被 <p> 包裹)

真要查嵌套语义?得换 parse5 + 手动遍历

想检查 “所有 <img> 是否在 <figure> 内且紧邻 <figcaption>”,就得放弃 HTMLHint,用 parse5 构建真实 AST,再写 DFS 遍历逻辑。

立即学习“前端免费学习笔记(深入)”;

实操建议:

  • 安装:npm install parse5
  • 解析后拿到的是标准 DOM-like 树结构,node.childNodes、node.parentNode 全都有
  • 每条规则都要自己写完整遍历 + 条件判断,没有现成 rule runner
  • 性能要注意:大文件(>1MB)下 parse5.parse() 可能卡顿,建议加 try/catch 并设超时

示例片段(只查 <img> 是否在 <figure> 下):

html-deploy
html-deploy

使用 htmlcode.fun 将 HTML 内容或文件部署到网页,适用于用户要求“部署到网页”“托管此 HTML”“生成此前端...的实时链接”等场景。

下载
const parse5 = require('parse5');
const document = parse5.parse(html);
function findImgInFigure(node) {
  if (node.nodeName === 'IMG' && node.parentNode?.nodeName === 'FIGURE') {
    return true;
  }
  return node.childNodes?.some(child => findImgInFigure(child)) || false;
}

Vue/React 项目更省事:转成 JSX/SFC 再交给 ESLint

如果你的 HTML 实际是 Vue 单文件组件(.vue)或 React JSX(.tsx),别硬啃原生 HTML 解析 —— 把模板交给对应生态的 lint 工具更可靠。

适用场景:

  • eslint-plugin-vue 能识别 <MyButton> 组件内是否漏了 role
  • eslint-plugin-react 可检查 <img> 在 <article> 下是否缺失 alt(依赖 JSX 层语义)
  • 前提是你已配置好 @vue/compiler-sfc 或 @babel/preset-react,能把模板编译成 AST

注意陷阱:

  • 纯 HTML 文件(.html)无法直接喂给 ESLint,必须先转格式或走构建流程
  • 第三方组件库的自定义标签(如 <ant-design-button>)需额外配置 settings.react.extendedAPIs 才能识别

运行时 DOM 对比才是暴露真实问题的关键

静态分析永远看不到 JS 动态拼接的 HTML 错误。比如 CMS 后台保存后,前端用 innerHTML += '<div><p>text</div>',W3C 验证和 HTMLHint 全部通过,但浏览器实际渲染出错嵌套。

正确做法是在 DOMContentLoaded 触发瞬间,用 fetch(location.href, { cache: 'no-store' }) 拉原始 HTML,再用 new DOMParser().parseFromString() 解析对比 document.documentElement.outerHTML —— 这才能发现服务端漏渲染、CDN 缓存脏数据等问题。

容易被忽略的细节:

  • document.documentElement.outerHTML 返回的是浏览器“修复后”的 DOM,自动补闭合、拆非法嵌套,完全掩盖原始缺陷
  • 若页面启用了 CSP connect-src,fetch 可能被拦截,得 fallback 到从 <script type="application/json"> 提取可信片段作锚点
  • 第三方 SDK 注入的 <div class="ad-banner"> 若没闭合,仅靠静态扫描永远扫不出来

相关文章

HTML速学教程(入门课程)
HTML速学教程(入门课程)

HTML怎么学习?HTML怎么入门?HTML在哪学?HTML怎么学才快?不用担心,这里为大家提供了HTML速学教程(入门课程),有需要的小伙伴保存下载就能学习啦!

下载

相关标签:

本站声明:本文内容由网友自发贡献,版权归原作者所有,本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容,请联系admin@php.cn

热门AI工具

更多
LibLibAI
LibLibAI Hot

一款AI视频创作工具,主要用于国内领先的AI创意平台,以海量模型、低门槛操作与“创作-分享-商业化”生态,让小白与专业创作者都能高效实现图文乃至视频创意表达,适合需要提升相关任务效率的用户。

WorkBuddy

一款AI办公效率工具,主要用于腾讯云推出的AI原生桌面智能体工作台,适合需要提升相关任务效率的用户。

Loomy
Loomy Hot

一款AI工具,主要用于科大讯飞发布的桌面级 AI 助理,比 OpenClaw 更易用、更安全!,适合需要提升相关任务效率的用户。

Atoms
Atoms Hot

Atoms是一款AI智能体工具,第一支自动构建真实业务的 AI 团队。

豆包大模型

豆包大模型是一款由字节跳动推出的企业级大语言模型服务平台。

SkildArt
SkildArt Hot

SkildArt是一款AI文本写作工具,一站式 AI 视觉创作平台。

音述AI
音述AI Hot

一款AI音频处理工具,主要用于音述AI是一个以“用声音述说故事”为核心的 AI 音乐创作与声音分享社区,适合需要提升相关任务效率的用户。

DeepSeek

DeepSeek是一款面向对话、写作、编程和推理场景的AI大模型工具。

切问学术

切问学术是一款AI论文写作工具,复旦大学NLP团队推出的AI学术智能体。

相关专题

更多
html版权符号
html版权符号

html版权符号是“©”,可以在html源文件中直接输入或者从word中复制粘贴过来,php中文网还为大家带来html的相关下载资源、相关课程以及相关文章等内容,供大家免费下载使用。

5355

2023.06.14

html在线编辑器
html在线编辑器

html在线编辑器是用于在线编辑的工具,编辑的内容是基于HTML的文档。它经常被应用于留言板留言、论坛发贴、Blog编写日志或等需要用户输入普通HTML的地方,是Web应用的常用模块之一。php中文网为大家带来了html在线编辑器的相关教程、以及相关文章等内容,供大家免费下载使用。

3092

2023.06.21

html网页制作
html网页制作

html网页制作是指使用超文本标记语言来设计和创建网页的过程,html是一种标记语言,它使用标记来描述文档结构和语义,并定义了网页中的各种元素和内容的呈现方式。本专题为大家提供html网页制作的相关的文章、下载、课程内容,供大家免费下载体验。

2750

2023.07.31

html空格
html空格

html空格是一种用于在网页中添加间隔和对齐文本的特殊字符,被用于在网页中插入额外的空间,以改变元素之间的排列和对齐方式。本专题为大家提供html空格的相关的文章、下载、课程内容,供大家免费下载体验。

2779

2023.08.01

html是什么
html是什么

HTML是一种标准标记语言,用于创建和呈现网页的结构和内容,是互联网发展的基石,为网页开发提供了丰富的功能和灵活性。本专题为大家提供html相关的各种文章、以及下载和课程。

4659

2023.08.11

html字体大小怎么设置
html字体大小怎么设置

在网页设计中,字体大小的选择是至关重要的。合理的字体大小不仅可以提升网页的可读性,还能够影响用户对网页整体布局的感知。php中文网将介绍一些常用的方法和技巧,帮助您在HTML中设置合适的字体大小。

2721

2023.08.11

html转txt
html转txt

html转txt的方法有使用文本编辑器、使用在线转换工具和使用Python编程。本专题为大家提供html转txt相关的文章、下载、课程内容,供大家免费下载体验。

2509

2023.08.31

html文本框代码怎么写
html文本框代码怎么写

html文本框代码:1、单行文本框【<input type="text" style="height:..;width:..;" />】;2、多行文本框【textarea style=";height:;"></textare】。

2268

2023.09.01

LLVM自定义Pass怎么写
LLVM自定义Pass怎么写

本专题聚焦LLVM自定义Pass开发,整理Pass类结构、run()方法、PreservedAnalyses、CMake构建、插件注册、-load-pass-plugin加载和测试用例编写流程。

0

2026.09.30

热门下载

更多
网站特效
/
网站源码
/
网站素材
/
前端模板

精品课程

更多
相关推荐
/
热门推荐
/
最新课程
Valgrind FAQ
Valgrind FAQ

共0课时 | 0人学习

Go语言教程手册
Go语言教程手册

共23课时 | 26.9万人学习

GDB 17.2 官方文档集合
GDB 17.2 官方文档集合

共0课时 | 0人学习

关于我们 免责申明 举报中心 意见反馈 讲师合作 广告合作 最新更新
php中文网:公益在线php培训,帮助PHP学习者快速成长!
关注服务号
PHP中文网订阅号
每天精选资源文章推送

Copyright 2014-2026 https://www.php.cn/ All Rights Reserved | php.cn