直接用 innerHTML 注入第三方 HTML 必然导致跨域渲染污染，因 shadowRoot.innerHTML 采用浅层挂载，使 script/style/link 逃逸至全局，破坏隔离；应改用 DOMParser + cloneNode 安全解析并注入。
直接用 innerHTML 注入第三方 HTML 字符串，在模块化前端中必然导致跨域渲染污染——脚本不执行、样式丢失、CSP 报错、框架初始化失败，且问题难以定位。
为什么 shadowRoot.innerHTML = htmlStr 会逃逸并污染全局
浏览器对 shadowRoot.innerHTML 的处理是“浅层挂载”：所有 <script> 和 <style> 节点被丢弃或错误注入到 document.head，而非进入 Shadow DOM 作用域。
-
<style>.btn{color:red}</style>会被忽略或漏出到全局，污染整个页面样式 -
<script>new Quill('#editor')</script>在全局上下文中执行，但#editor实际在 shadow 内部，查不到容器，静默失败 -
<link rel="stylesheet">直接加载到document.head，破坏样式隔离，还可能触发 CSP violation - 即使使用
mode: "closed"，innerHTML赋值仍会提前触发解析，污染已不可逆
如何用 DOMParser + cloneNode(true) 安全校验并注入
必须绕过字符串拼接，改用结构化解析——这是唯一能保留语义、隔离上下文、兼容 CSP 的方式。
- 用
new DOMParser().parseFromString(htmlStr, 'text/html')解析，得到真实 DOM 树，模拟浏览器实际行为 - 必须包裹根节点：
const wrapper = document.createElement('div'); wrapper.innerHTML = htmlStr;或用<template>标签避免污染原模板 - 对克隆后的节点树遍历处理：
style节点用shadowRoot.appendChild(style)；script节点需新建document.createElement('script')并复制src或textContent后再插入 -
<link rel="stylesheet">必须拦截，改为fetch(cssUrl).then(r => r.text()).then(cssText => { const style = document.createElement('style'); style.textContent = cssText; shadowRoot.appendChild(style); })
第三方 JS 初始化总失败的真正原因和修复时机
不是框架不支持 Shadow DOM，而是默认查找逻辑写死在 document 上，而 Shadow 内节点根本不在其查询范围内。
立即学习“前端免费学习笔记（深入）”；
- 优先改用支持容器参数的初始化方式：
new Quill(shadowRoot.querySelector('.ql-editor'))、Foundation.reInit(shadowRoot) - 若框架无容器参数（如部分老版 Bootstrap 插件），需手动替换查找上下文：
const $ = (sel) => [...shadowRoot.querySelectorAll(sel)]，再包装调用逻辑 - 绝不能依赖
$(document).ready()或DOMContentLoaded——Shadow DOM 挂载完成时间晚于主文档，应使用requestAnimationFrame(() => { /* init */ })或setTimeout(() => {}, 0) - 初始化前务必确认
shadowRoot已挂载且目标元素已存在于其中，否则querySelector返回null
模块级 HTML 安全校验必须前置到 import 阶段
把校验逻辑放在渲染函数里，等于把风险后移到运行时；真正安全的做法，是在模块加载完成的第一时间就验证 HTML 字符串合法性。
- 每个负责生成 HTML 的模块（如
cardTemplate.js）应在顶层导出纯函数safeHtmlParse(htmlStr)，内部用DOMParser解析并校验doc.body.children.length > 0 - 禁止模块间隐式传递 HTML 字符串：
renderCard(el, user)应封装校验 + 插入全过程，而不是暴露generateCardHtml(user) - 若需 SSR 复用，模块必须同时导出类型守卫
isSafeHtml(htmlStr)，并在 JSDoc 中明确标注返回约束 - CI/CD 流水线应强制检查：所有
el.innerHTML =赋值操作必须出现在校验函数调用之后，否则阻断构建
最易被忽略的一点：HTML 字符串的“合法”不等于“安全”。一个语法正确、能通过 DOMParser 解析的字符串，仍可能含 onerror 属性、javascript: 协议或未转义的 JSON 嵌入。校验必须分层——先结构，再语义，最后上下文编码。
